如何查询指定AWS IAM角色customer_app_role的所有关联权限？

一、基础权限说明 #

你给出的customer_app_role已配置一条内联策略，允许对所有ECR资源执行一系列只读操作（比如ecr:DescribeRepositories、ecr:GetAuthorizationToken等），但角色的完整权限不止于此，需综合检查以下几类配置：

二、AWS管理控制台查询步骤 #

1. 登录AWS控制台，进入IAM服务
2. 左侧导航栏选角色，搜索并打开customer_app_role详情页
3. 重点查看三个区域：
   • 权限策略：包含所有直接附加的内联策略（含你提供的ECR策略）和托管策略，点击每个策略可查看具体权限内容
   • 权限边界：若配置了此项，它会作为角色的权限上限，限制策略允许的操作范围
   • 信任关系：确认哪些实体能扮演该角色，这类实体在扮演角色时传入的会话策略会进一步缩小实际可用权限

三、AWS CLI查询命令 #

1. 列出角色附加的所有托管策略和内联策略名称：

   # 托管策略
   aws iam list-attached-role-policies --role-name customer_app_role
   # 内联策略
   aws iam list-role-policies --role-name customer_app_role
   

2. 获取指定内联策略的详细内容（替换<policy-name>为实际策略名）：

   aws iam get-role-policy --role-name customer_app_role --policy-name <policy-name>
   

3. 查看角色的权限边界配置：

   aws iam get-role --role-name customer_app_role --query 'Role.PermissionsBoundary'
   

四、完整权限的影响因素 #

角色的实际可用权限是以下几部分的交集：

• 内联策略+托管策略允许的操作
• 权限边界限制的范围
• 会话策略（若有）的额外限制
• 若为服务相关角色，还需考虑AWS服务预设的专属权限

内容的提问来源于stack exchange，提问作者selvi