如何为AWS不同部门用户组设置差异化密码过期策略？

AWS IAM本身不支持直接按用户组配置不同的密码过期规则——账户级的默认密码策略会统一应用到所有IAM用户，自定义策略也无法实现组级别的差异化控制。不过你可以通过以下几种替代方案满足需求：

• 使用IAM身份中心（原AWS SSO）
  如果你切换到IAM身份中心管理用户，就能为不同用户组配置独立的密码策略，包括密码过期时间、复杂度要求、重试限制等。身份中心的组级策略配置完全可以匹配你财务部、开发部、质检部的差异化需求，而且用户管理更集中。

• 自定义Lambda自动化方案
  可以编写Lambda函数，结合CloudWatch定时事件或IAM用户变更事件，实现以下逻辑：

  1. 扫描IAM用户，判断其所属用户组
  2. 根据组的预设规则，调用UpdateLoginProfile API强制用户重置密码（设置PasswordResetRequired=true），或者通过定期检查用户最后密码更新时间，达到指定天数后触发重置要求
     注意要给Lambda配置足够的IAM权限（比如iam:UpdateLoginProfile、iam:ListUsers、iam:ListGroupsForUser）。

• 集成第三方身份提供商（IdP）
  如果你的用户通过SAML或OIDC集成的外部IdP（比如Active Directory、Okta）登录AWS，可以直接在IdP端为不同部门的用户组配置差异化密码策略，AWS仅负责认证，密码规则完全由IdP管控。

内容的提问来源于stack exchange，提问作者Sabarees waran