AWS IAM 如何为指定用户授予特定DynamoDB的访问权限

最优实现方式：自定义IAM资源级权限策略 #

你不需要引入Lambda做访问中转，AWS IAM本身就支持DynamoDB的资源级权限管控，完全可以零开发成本实现你的隔离需求：
你不需要局限于现有提供的几款全局托管策略，直接为两个用户分别绑定自定义策略即可：

1. 给user_1绑定如下权限策略，仅开放dynamodb_1的访问权限：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "dynamodb:*",
            "Resource": "arn:aws:dynamodb:<替换为你的AWS区域>:<替换为你的AWS账户ID>:table/dynamodb_1"
        }
    ]
}

2. 给user_2绑定的策略仅需要将上述配置中的Resource字段替换为dynamodb_2的ARN即可。

该方案的优势非常明显：

• 无任何额外开发、运维成本，仅需要简单的IAM配置即可生效
• 权限粒度可灵活调整，如果你不需要给全量操作权限，可以将dynamodb:*替换为指定的读/写操作集合
• 没有额外链路引入的访问延迟和故障点，可靠性更高

Lambda中转方案的合理性说明 #

你提到的Lambda中转方案本身是可行的，但仅适合存在额外业务需求的场景：比如需要对所有访问请求做审计留痕、流量限速、或者需要叠加复杂的业务逻辑校验。如果只有单纯的资源访问隔离需求，该方案属于过度设计，完全不需要采用。

内容的提问来源于stack exchange，提问作者Utopion