AWS IAM策略中标记为required的资源类型实际作用是什么？

• Required标记本身不会限制策略中使用*通配符，全星号的管理员托管策略可以正常生效属于预期行为，该标记的作用从来不是拦截通配符资源配置。
• 第一个核心生效场景：当你需要编写精细化权限策略、不使用*通配符而是指定具体资源ARN时，必须在策略的资源字段中覆盖所有标记为Required的资源类型的ARN，否则当前Statement会直接失效。例如S3的s3:CopyObject操作同时要求源对象、目标对象两个Required资源类型，如果你只写了目标对象的ARN，未配置源对象对应的资源规则，这条允许s3:CopyObject的策略不会生效。
• 第二个核心生效场景：对应AWS服务API的权限校验逻辑，标记为Required的资源是对应API请求时必然会涉及的资源，IAM做权限校验时必须逐一匹配这些资源的访问权限，只要其中一个资源匹配不通过，请求就会被拒绝。
• 相关疑问说明：
  • 多个Required资源类型对应需要同时操作多个核心资源的API，比如EC2挂载弹性卷的操作需要同时校验实例、云卷两个资源的权限，就会标记两个Required资源类型。
  • 非Required资源类型属于可选限制项，你可以主动添加到策略的资源字段中做更细粒度的权限管控，不添加也不影响Statement本身的有效性。
  • 条件键的生效逻辑和Required标记没有直接绑定关系，全局条件键、服务级公共条件键本身就不需要绑定特定资源类型，无论对应操作的资源是否标记为Required都可以正常生效，你之前遇到的反例属于正常情况。

内容的提问来源于stack exchange，提问作者WP Swart