关于DynamoDB关联IAM权限是否自动附带其他AWS服务的技术问询

问题1：为Alexa配置DynamoDB IAM权限时，会自动添加大量其他AWS服务的权限吗？ #

答案是不会。当你为Alexa相关的IAM角色（比如技能执行角色）配置DynamoDB专属权限时，只会包含你明确指定的DynamoDB相关权限，不会自动附带其他AWS服务的访问权限。

如果你使用的是AWS托管的AmazonDynamoDBFullAccess策略，它的权限范围仅覆盖DynamoDB的所有操作（例如dynamodb:*），以及用于记录DynamoDB操作日志的CloudWatch Logs权限，不会涉及其他无关服务。

问题2：为Lambda添加DynamoFullAccessPermission后，Lambda显示自动附带诸多其他服务权限，这是该策略本身包含的吗？ #

首先要明确：你提到的DynamoFullAccessPermission应该是AWS托管的AmazonDynamoDBFullAccess策略，它本身并不包含其他AWS服务的权限。你看到Lambda执行角色有额外权限，通常是以下几种原因：

• Lambda默认执行策略：创建Lambda函数时，若选择自动生成执行角色，AWS会默认附加AWSLambdaBasicExecutionRole策略——这个策略包含CloudWatch Logs的权限，用于让Lambda将日志写入CloudWatch，这是最常见的额外权限来源。
• 角色附加了其他策略：可能你之前给这个Lambda执行角色添加过其他策略，或者该角色被其他AWS服务关联，从而继承了额外权限。
• 权限边界或组织SCP影响：如果你的AWS账号属于某个组织，且设置了服务控制策略（SCP），或者角色本身配置了权限边界，控制台可能会显示一些允许的权限范围，但这并非AmazonDynamoDBFullAccess策略本身包含的内容。

你可以通过以下步骤验证：

1. 进入IAM控制台，找到该Lambda对应的执行角色
2. 查看角色的「权限」标签，逐一检查所有附加的策略，确认哪些策略提供了额外的服务权限
3. 打开AmazonDynamoDBFullAccess策略的详情页，查看其权限语句，就能看到它仅针对dynamodb:*和与DynamoDB相关的logs:*权限

内容的提问来源于stack exchange，提问作者ina