尝试创建一个所有允许除删除之外的所有内容的AWS策略

Question

我希望创建一个允许访问除删除权限之外的所有AWS服务的策略。我看到我可以执行以下操作，但您必须标记每个AWS服务，并且"*:Delete*"不起作用。是否有更简单的方法允许除删除权限之外的所有服务？

...
"Effect": "Allow",
  "NotAction": [
    "application-autoscaling:Delete*",
    "autoscaling:Delete*"
  ],
  "Resource": "*"
  ...

Answer 1

根据官方IAM文档，您必须列出所有服务。

根据语法，您可以定义"NotAction": "*"或"NotAction": ["s3:Delete*", "ec2:Delete*", ...]

有关详细信息，请参阅 action_string 部分here和政策语法here。