如何通过IAM策略限制Dev/Test角色用户访问Prod环境？求最佳实践

我正在使用IAM角色在AWS环境间切换，拥有对应Dev、Test、Prod的3个假定角色，这些角色具备相同权限（如EC2、S3等）。现需通过IAM策略限制信任Dev、Test角色的用户无法操作Prod角色，目前尝试使用服务标签进行限制，请问此方式是否为最优方案？是否有相关最佳实践？

用户尝试的策略片段：

"Condition": {
    "ForAllValues:StringEquals": {
        "aws:Environment": [
            "dev",
        ]
    }
}

方案有效性与最优性分析 #

• 用aws:Environment标签做限制的方式是可行的，但并非绝对最优，需结合你的环境情况判断：
  • 优势：标签是AWS原生的资源分组手段，配置灵活，能快速实现跨资源的环境隔离，且和IAM条件判断天然适配，适合已全面采用标签管理资源的环境。
  • 局限：如果资源存在未打标、标签错误的情况，会直接导致限制失效；另外，标签可被拥有对应权限的用户修改，存在被绕过的风险。

相关最佳实践 #

• 角色层面直接隔离：在Dev/Test角色的信任策略中，直接拒绝用户切换到Prod角色。比如给Dev角色添加以下拒绝规则：

  {
      "Effect": "Deny",
      "Action": "sts:AssumeRole",
      "Resource": "arn:aws:iam::你的账户ID:role/Prod角色名"
  }
  

• 使用IAM权限边界：给Dev/Test角色设置权限边界，明确限定其只能访问对应环境的资源。即便角色权限被意外扩大，也无法突破边界访问Prod资源。
• 多账户硬隔离：如果条件允许，把Dev、Test、Prod环境部署在不同AWS账户中，这是最彻底的隔离方式，从根源避免跨环境访问风险，同时方便账单和权限的独立管理。
• 标签合规强制：若坚持用标签方案，通过AWS Config规则强制所有资源必须正确打标aws:Environment，且仅允许特定管理员修改标签，降低标签被篡改的风险。
• 结合组织SCP策略：如果使用AWS Organizations，通过服务控制策略（SCP）在组织层面限制Dev/Test账户下的角色无法访问Prod账户资源，实现全局环境隔离。

内容的提问来源于stack exchange，提问作者Nightt