如何通过IAM策略限制AppConfig仅允许在dev环境启动部署？

问题根源 #

你遇到的访问拒绝问题，核心是资源ARN格式错误以及StartDeployment操作所需的资源范围不全：

1. AppConfig的环境是独立顶级资源，并非应用的子资源，你之前写的arn:aws:appconfig:*:ACCOUNT-ID:application/*/environment/*格式不符合AWS规范；
2. StartDeployment操作需要同时校验应用、环境、配置文件、部署策略四类资源的权限，缺少任何一类都会触发访问拒绝。

解决方案 #

方案1：通过标签限制Dev环境权限 #

将策略修正为以下格式，替换ACCOUNT-ID为你的AWS账号ID：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "appconfig:StartDeployment",
            "Resource": [
                "arn:aws:appconfig:*:ACCOUNT-ID:application/*",
                "arn:aws:appconfig:*:ACCOUNT-ID:environment/*",
                "arn:aws:appconfig:*:ACCOUNT-ID:configurationprofile/*",
                "arn:aws:appconfig:*:ACCOUNT-ID:deploymentstrategy/*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/environment": "dev"
                },
                "ForAnyValue:StringEquals": {
                    "aws:CalledVia": "appconfig.amazonaws.com"
                }
            }
        }
    ]
}

• 修正了资源ARN的正确格式，环境资源直接用environment/*而非嵌套在应用下；
• 增加aws:CalledVia条件，确保权限仅在通过AppConfig服务调用时生效，避免权限滥用；
• 覆盖了StartDeployment所需的全部资源类型，确保权限校验通过。

方案2：直接指定Dev环境ARN #

如果你不需要标签灵活匹配，可直接指定Dev环境的ARN，策略如下：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "appconfig:StartDeployment",
            "Resource": [
                "arn:aws:appconfig:*:ACCOUNT-ID:application/*",
                "arn:aws:appconfig:*:ACCOUNT-ID:environment/dev",
                "arn:aws:appconfig:*:ACCOUNT-ID:configurationprofile/*",
                "arn:aws:appconfig:*:ACCOUNT-ID:deploymentstrategy/*"
            ]
        }
    ]
}

• 直接将环境资源锁定为dev，无需依赖标签；
• 同样覆盖了所有必要的资源类型，确保部署操作能正常执行。

验证步骤 #

1. 确认策略中的ACCOUNT-ID已替换为实际账号ID；
2. 若用标签方案，检查Dev环境是否已添加environment=dev的标签；
3. 使用IAM Access Analyzer扫描策略，排查语法或权限范围错误；
4. 测试部署操作时，确保目标环境确实是Dev环境，避免操作混淆。

内容的提问来源于stack exchange，提问作者jjghali