以编程方式检查信任关系

Question

是否有一种使用boto3获取信任关系策略文档的方法？我正在尝试审核允许第三方访问我的AWS环境的角色。

我一直在搜寻boto3 API来找到适用的函数调用，并尝试了iam.client.get_role_policy和iam.client.get_account_authorization_details。

但是，我无法根据我为特定角色所需的策略信息来确定要传递哪些参数，因此我不确定这些功能是否会返回我要查找的信息。

基本上，对于我帐户中的每个IAM角色，我都试图查找以下信息：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::{acctID}:root"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "sts:ExternalId": {externalID}
        }
      }
    }
  ]
}

我认为，如果"sts:ExternalId": {externalID}是信任关系的一部分，则该策略将授予第三者访问权限。

如果有更好的方法可以做到这一点，我很想知道。我对IAM角色/政策没有太多经验。

Answer 1

您应该使用GetRole API来检索信任关系，即承担角色策略。