如何配置AWS IAM角色信任关系仅允许指定用户组扮演角色？

你当前的策略无法生效的核心原因是：当IAM用户尝试切换角色时，aws:PrincipalArn对应的是用户自身的ARN，而非用户所属组的ARN，所以用它匹配组ARN的条件永远不满足，导致用户无法切换。

以下是两种可行的解决方案：

方案1：通过用户标签匹配（推荐，适合用户频繁变动场景） #

1. 先给IAMCentral用户组添加标签，比如键为Group，值为IAMCentral（用户会自动继承组的标签）
2. 使用以下信任策略，通过标签判断用户是否属于目标组：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::[AWS-AccountID]:root"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:PrincipalTag/Group": "IAMCentral"
                }
            }
        }
    ]
}

这种方式的好处是，用户加入或退出组时，无需修改信任策略，标签会自动同步生效。

方案2：直接指定组内用户ARN（适合用户数量少且稳定场景） #

如果用户数量不多且变动频率低，可以直接将组内每个用户的ARN列在条件中：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::[AWS-AccountID]:root"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "ArnEquals": {
                    "aws:PrincipalArn": [
                        "arn:aws:iam::[AWS-AccountID]:user/Alice",
                        "arn:aws:iam::[AWS-AccountID]:user/Bob"
                    ]
                }
            }
        }
    ]
}

注意：每次新增用户到组时，需要手动更新这个信任策略，添加新用户的ARN。

额外注意事项 #

确保目标用户或用户组本身拥有sts:AssumeRole的权限（通过IAM权限策略配置），否则即使信任策略正确，用户也无法切换角色。

内容的提问来源于stack exchange，提问作者Lineker Calseverini