如何配置IAM策略让Guest仅访问自身拥有的AWS DynamoDB表？

你的IAM策略存在两个关键问题，导致用户无法查看自身创建的表，同时也没真正限制访问非自身表：

1. dynamodb:OwnerIAMUser 条件仅对表级操作（如GetItem、DeleteTable）生效，ListTables是全局操作，不关联具体表，因此该条件在ListTables的Deny语句中完全无效，直接导致用户被拒绝所有列表表请求。
2. 初始的Allow语句授予了dynamodb:*全资源权限，这意味着用户可以随意访问所有DynamoDB表，和你“禁止访问非自身表”的需求完全矛盾。

修正后的IAM策略 #

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "dynamodb:CreateTable",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "dynamodb:*",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "dynamodb:OwnerIAMUser": "arn:aws:iam::909090912345:user/Guest"
                }
            }
        },
        {
            "Effect": "Deny",
            "Action": [
                "dynamodb:ListTables",
                "dynamodb:ListTagsOfResource"
            ],
            "Resource": "*",
            "Condition": {
                "ForAnyValue:StringNotEquals": {
                    "dynamodb:OwnerIAMUser": "arn:aws:iam::909090912345:user/Guest"
                }
            }
        }
    ]
}

策略细节解释 #

• 第一条规则：单独允许创建表操作，因为创建表时还未生成dynamodb:OwnerIAMUser标识，无法通过条件匹配授权。
• 第二条规则：仅允许用户对自身创建的表执行所有DynamoDB操作，通过StringEquals条件匹配用户ARN，严格限制操作范围。
• 第三条规则：拒绝用户列出非自身拥有的表及标签。ListTables本身不支持资源级过滤，但通过ForAnyValue:StringNotEquals条件，可实现仅返回用户自身创建的表的效果。

额外提示 #

• 若表是通过IAM角色创建的，dynamodb:OwnerIAMUser条件不会生效，此时需要手动给表添加Owner标签，并使用aws:ResourceTag/Owner条件来替代进行权限控制。
• 所有针对非自身表的操作，都会被第二条规则的条件自动拒绝，无需额外配置其他Deny规则。

内容的提问来源于stack exchange，提问作者Ullan