Ограничение количества "пользователей", которое может создать пользователь IAM

Как ограничить количество пользователей, которое может создать пользователь IAM.

Например: пользователь может создать только одного пользователя A'

Я пытался использовать теги allow и deny в Effects, но он вообще запретит создание пользователя.

Я могу справиться с этим с помощью программирования, но это не вариант, так как: пользователь может быть создан через GUI или CLI, который у меня не отслеживается.

Я хочу знать, есть ли политика, в которой я могу ограничить количество пользователей, которых может создать пользователь IAM?

Источник

2 ответа

Невозможно использовать политику IAM. Effect за "Action": "iam:CreateUser" может быть разрешен или запрещен, что вы уже проверяли. Вам нужно будет написать собственный код для контроля количества пользователей IAM, которые может создать другой пользователь IAM.

Источник

Как сказал Атар, это возможно только с IAM. Я бы сказал, что вы можете прочитать журнал CloudTrail, извлечь события "Создать пользователя" с помощью лямбды, сохранить их в базе данных и, если число превысит лимит, отправить сигнал тревоги. Это не помешает, но по крайней мере вы узнаете.

Источник
Другие вопросы по тегам