同一AWS账户内验证SSO角色新增RDS/DocumentDB权限的步骤是否合规？

你的验证步骤是完全正确的，sts:AssumeRole并非只能用于跨账户场景，同账户内用它模拟角色权限是验证IAM策略有效性的常规手段。

为什么这个方法可行？ #

• 同账户内的角色信任策略允许指定IAM用户执行AssumeRole，本质就是让该用户临时获得角色的全部权限集合，逻辑和跨账户场景一致，只是信任主体在同一账户内。
• 你用无任何权限的Testuser来做验证，能完全排除原有用户权限的干扰，精准测试新增的RDS、DocumentDB内联策略是否生效。

需要补充的验证环节 #

• 检查权限边界限制：如果你的SSO角色设置了Permissions Boundary，要确认新增的内联策略没有超出这个边界，避免出现策略允许但权限边界拦截的情况。
• 测试最小权限与拒绝场景：别只验证能访问授权资源，还要尝试访问未授权的RDS实例、DocumentDB集群，确认会被拒绝，避免过度授权。
• 模拟真实SSO登录场景：你当前是用IAM用户切换角色，但实际是SSO登录，建议直接通过SSO门户登录到该角色，验证权限是否一致——防止角色信任策略中对SSO身份源的限制（比如仅允许特定SSO用户组AssumeRole）导致权限差异。
• 排查策略冲突：确认新增的内联策略和角色已有的托管策略没有冲突，比如托管策略如果有拒绝某些RDS操作，会抵消内联策略的允许权限。
• 用CLI命令模拟权限验证：可以用aws iam simulate-custom-policy直接测试内联策略的逻辑，不用切换角色，比如：

  aws iam simulate-custom-policy --policy-input-list '[{"Version":"2012-10-17","Statement":[{"Effect":"Allow","Action":["rds:DescribeDBInstances","docdb:DescribeDBClusters"],"Resource":"*"}]}]' --action-names rds:DescribeDBInstances docdb:DescribeDBClusters
  

内容的提问来源于stack exchange，提问作者skscloud