如何为IAM策略添加限制，使其仅能在指定AWS账户中生效？

当然可以！你完全可以给IAM策略加上账户专属限制，完美解决多账户部署时怕搞混的问题。下面给你两种实用的实现方式，结合你的CloudFormation场景，还能让模板复用性拉满：

1. 直接用IAM条件键锁定账户 #

AWS IAM提供了专门的条件键来限制策略的生效范围，常用的有两个：

• aws:ResourceAccount：限制策略仅对指定账户内的资源生效
• aws:PrincipalAccount：限制仅**指定账户内的身份（用户/角色等）**能使用该策略

举个例子，如果你想让策略里的S3操作只能访问当前账户的桶，可以这么写：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["s3:ListBucket", "s3:GetObject"],
      "Resource": ["arn:aws:s3:::*", "arn:aws:s3:::*/*"],
      "Condition": {
        "StringEquals": {
          "aws:ResourceAccount": "123456789012" // 替换成你的目标账户ID
        }
      }
    }
  ]
}

这样一来，哪怕这个策略不小心被部署到其他账户，也无法访问其他账户的S3资源，从根源上避免混淆。

2. 结合CloudFormation动态绑定账户ID #

既然你用CloudFormation批量部署，完全可以把账户ID做成模板参数，部署时传入对应账户的ID，自动生成专属策略。

首先在模板里定义参数：

Parameters:
  TargetAccountId:
    Type: String
    Description: "指定该策略生效的AWS账户ID"
    MinLength: 12
    MaxLength: 12

然后在IAM策略资源里引用这个参数：

Resources:
  AccountRestrictedPolicy:
    Type: AWS::IAM::Policy
    Properties:
      PolicyName: "Account-Specific-Policy"
      PolicyDocument:
        Version: "2012-10-17"
        Statement:
          - Effect: "Allow"
            Action: "ec2:DescribeInstances"
            Resource: "*"
            Condition:
              StringEquals:
                "aws:PrincipalAccount": !Ref TargetAccountId
      # 这里绑定你需要关联的用户/角色/组
      Users:
        - !Ref TargetIAMUser

部署每个账户时，只需要传入对应账户的12位ID，模板就会自动生成锁定该账户的策略，再也不用担心搞混了。

额外补充：角色信任策略的账户限制 #

如果你是用IAM角色，还可以在信任策略里直接限制只有指定账户能扮演该角色，比如：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::123456789012:root"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

或者用条件键更灵活的写法：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": { "AWS": "*" },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": { "aws:PrincipalAccount": "123456789012" }
      }
    }
  ]
}

内容的提问来源于stack exchange，提问作者lft93ryt