AWS中配置IAM策略限制特定VPC创建子网遇授权错误如何解决？

原策略无法生效的核心问题有两个：

• resources设为"*"不符合EC2权限的资源匹配规则，ec2:CreateSubnet动作对应的资源需指定目标VPC的ARN，而非通配符。
• 条件变量未严格匹配AWS标准键名，正确的键应为ec2:VpcId（末尾d为小写），虽然StringEqualsIgnoreCase能兼容大小写，但规范写法可避免潜在问题。

以下是修正后的Terraform配置：

statement {
    actions = [
      "ec2:CreateSubnet",
    ]
    # 指定目标VPC的ARN作为资源，可通过变量动态填充区域和账号ID
    resources = ["arn:aws:ec2:${var.region}:${var.account_id}:vpc/vpc-xxxx64eeb9480xxxx"]
    condition {
      test     = "StringEquals"
      variable = "ec2:VpcId"
      values   = ["vpc-xxxx64eeb9480xxxx"]
    }
  }

配置说明 #

1. 资源指定：将资源设为目标VPC的ARN，确保权限仅作用于该VPC资源。
2. 条件约束：通过ec2:VpcId条件验证创建子网时传入的VPC ID是否匹配指定值，形成双重权限范围限制。
3. 动态参数：使用var.region和var.account_id变量替代硬编码的区域和账号ID，适配多环境部署需求。

若追求极简配置，也可仅通过VPC ARN限制资源范围（无需条件），但保留条件能更明确地约束请求中的VPC参数，降低误操作风险。

内容的提问来源于stack exchange，提问作者PSKP