基于ARN存在性的IAM策略动作执行逻辑分析及场景验证

需求背景 #

要实现的IAM策略逻辑：当指定的SSO权限集ARN（ARN1，附带拒绝所有IAM操作的策略）存在时，执行列出资源类的动作；若ARN1不存在，则不执行任何操作。同时存在一个包含EC2、CloudWatch等操作的IAM策略，需分析以下两种场景下EC2相关动作的执行结果：

场景1：ARN1可见 #

• ARN1附带的策略仅拒绝所有IAM操作，EC2的列出资源动作（如ec2:DescribeInstances、ec2:DescribeVolumes等）属于EC2服务范畴，不受该拒绝策略影响。
• 若包含EC2操作的策略中，允许列资源动作的规则是基于ARN1存在的条件生效，此时条件满足，EC2的列出资源动作会被允许执行。
• 若该EC2策略仅授权列出类动作，那么只有这类动作生效；若包含其他EC2操作，需看策略是否有额外限制，核心是满足ARN存在条件时，策略中允许的列资源动作正常生效。

场景2：ARN1不可见 #

• 不满足“ARN存在则执行列资源动作”的触发条件，对应逻辑是“不执行任何操作”。
• 即使存在包含EC2操作的IAM策略，由于触发条件不成立，策略中的所有EC2相关动作（包括列出资源）都不会被授权执行。
• 最终结果：无法执行任何EC2相关动作。

内容的提问来源于stack exchange，提问作者ivan