咨询：IAM角色配置假设自身的策略有何作用？

你遇到的这种「角色允许自己假设自己」的配置，主要有以下几个实际适用场景：

• 临时权限范围缩小：这正是你提到的原用途。如果角色本身附带了较宽泛的权限，但某些操作需要更严格的权限约束，不需要额外创建新角色，直接调用sts:AssumeRole指向自身，并在调用时通过Policy参数传入更窄的权限策略，就能生成临时的受限凭证。这种方式可以快速实现权限的临时收缩，无需额外的角色管理成本。

• 精细化会话审计：调用sts:AssumeRole时可以指定SessionName或添加会话标签（Tags），生成的临时凭证会携带这些标识。当同一个角色被多个不同的任务、脚本或用户使用时，通过自假设生成带唯一标识的会话凭证，能在CloudTrail日志中更精准地追踪每一类操作的来源，便于审计和问题排查。

• 兼容遗留代码逻辑：有些早期的自动化脚本或应用程序，被设计为必须通过sts:AssumeRole流程获取凭证才能执行操作，哪怕目标角色就是自身。为了避免修改代码逻辑，直接配置角色信任自身并允许自调用，就能让原有系统继续正常运行，减少重构成本。

你改成「RoleB假设RoleA」的方案，其实更符合IAM的最小权限原则和职责分离最佳实践：两个角色的权限边界更清晰，审计时更容易区分不同角色的职责，后续维护和权限调整也更直观，比自假设的方式更具可扩展性。

内容的提问来源于stack exchange，提问作者GwenM