AWS IAM策略条件中Bool与BoolIfExists的区别是什么？

二者的核心差异为指定的条件键在请求上下文不存在时的判定逻辑不同，具体规则如下：

• Bool操作符：要求条件键必须在请求上下文中存在，才会执行值匹配校验。如果键不存在，整个条件直接判定为不成立，关联的策略语句（Allow/Deny）不会生效。
  对应你给出的示例：

  "Condition" : {"Bool" : {"aws:MultiFactorAuthPresent" : false}}
  

  只有当请求上下文确实包含aws:MultiFactorAuthPresent键，且该键的值为false时，条件才会判定为成立。如果该键未出现在请求上下文中，条件直接不通过。
• BoolIfExists操作符：如果条件键在请求上下文中存在，就和Bool逻辑一致执行值匹配；如果键不存在，整个条件直接判定为成立，关联的策略语句会正常生效。
  对应你给出的示例：

  "Condition" : {"BoolIfExists" : {"aws:MultiFactorAuthPresent" : false}}
  

  两种情况都会判定条件成立：一是aws:MultiFactorAuthPresent存在且值为false，二是aws:MultiFactorAuthPresent压根不存在于请求上下文中。

注意：你示例中的键名拼写存在笔误，IAM标准全局条件键为aws:MultiFactorAuthPresent。

内容的提问来源于stack exchange，提问作者Shashi