如何使用boto3为IAM角色添加信任策略？

嘿，我来帮你搞定用boto3给IAM角色添加信任策略的问题～之前你用AWS CLI解决过类似问题，现在用boto3思路差不多，不过得用对应的API方法，我给你两种常见场景的解法：

场景1：直接设置全新的信任策略 #

如果你的需求是直接替换掉角色现有的信任策略，用新的完整策略覆盖，那可以用update_assume_role_policy方法，步骤如下：

1. 先导入boto3和json模块（因为策略需要转成JSON字符串）：

import boto3
import json

2. 创建IAM客户端：

iam = boto3.client('iam')

3. 定义你的完整信任策略（把你准备好的内容填进去，注意用正常双引号即可）：

trust_policy = {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "ec2.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        },
        # 这里可以继续添加其他你需要的信任声明
        {
            "Sid": "AllowExampleUserAssumeRole",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::123456789012:user/ExampleUser"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

4. 调用方法更新策略：

try:
    response = iam.update_assume_role_policy(
        RoleName='你的IAM角色名称',  # 替换成实际的角色名
        PolicyDocument=json.dumps(trust_policy)
    )
    print("信任策略更新成功！")
except Exception as e:
    print(f"更新失败：{e}")

场景2：在原有策略基础上追加新的信任声明 #

如果你不想覆盖原有策略，而是要在现有的基础上新增信任规则，那得先获取当前的策略，合并后再更新：

1. 同样先导入模块并创建客户端：

import boto3
import json
iam = boto3.client('iam')

2. 获取角色当前的信任策略：

role_name = '你的IAM角色名称'
try:
    role_info = iam.get_role(RoleName=role_name)
    existing_policy = role_info['Role']['AssumeRolePolicyDocument']
except Exception as e:
    print(f"获取角色信息失败：{e}")
    exit()

3. 定义你要新增的信任声明：

new_statement = {
    "Sid": "AllowAnotherServiceAssumeRole",
    "Effect": "Allow",
    "Principal": {
        "Service": "lambda.amazonaws.com"
    },
    "Action": "sts:AssumeRole"
}

4. 合并策略（这里加了去重逻辑，避免重复添加相同的声明）：

# 把新声明追加到现有列表
existing_policy['Statement'].append(new_statement)

# 可选：去重，避免重复的策略声明（比如同一个主体和权限的）
unique_statements = []
seen = set()
for stmt in existing_policy['Statement']:
    # 用Principal和Action的组合作为唯一标识，你也可以根据Sid来判断
    principal_str = json.dumps(stmt.get('Principal', {}))
    action_str = json.dumps(stmt.get('Action', []))
    unique_key = f"{principal_str}-{action_str}"
    if unique_key not in seen:
        seen.add(unique_key)
        unique_statements.append(stmt)
existing_policy['Statement'] = unique_statements

5. 最后更新策略：

try:
    response = iam.update_assume_role_policy(
        RoleName=role_name,
        PolicyDocument=json.dumps(existing_policy)
    )
    print("信任策略追加成功！")
except Exception as e:
    print(f"追加失败：{e}")

一些注意事项 #

• update_assume_role_policy是完全替换信任策略，不是增量添加，所以如果直接用新策略覆盖，原有规则会丢失，一定要注意！
• 确保你的boto3客户端对应的IAM用户/角色有iam:UpdateAssumeRolePolicy和iam:GetRole（如果用场景2的话）的权限，不然会报错。
• 策略文档要符合IAM的语法规范，比如Version必须是2012-10-17，Statement里的Effect、Principal、Action都要正确配置。

备注：内容来源于stack exchange，提问作者Minto Mohan