Политика AWS, разрешающая доступ к ресурсу только одному пользователю SSO.

Question

Мы находимся в процессе перевода всех наших пользователей IAM на aws SSO, у нас была эта политика IAM для sagemaker:

      "

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": [
                "sagemaker:ListTags",
                "sagemaker:DeleteNotebookInstance",
                "sagemaker:StopNotebookInstance",
                "sagemaker:CreatePresignedNotebookInstanceUrl",
                "sagemaker:DescribeNotebookInstance",
                "sagemaker:StartNotebookInstance",
                "sagemaker:UpdateNotebookInstance"
            ],
            "Resource": "arn:aws:sagemaker:::notebook-instance/${aws:username}*"
        },
        {
            "Sid": "VisualEditor1",
            "Effect": "Allow",
            "Action": [
                "sagemaker:ListNotebookInstanceLifecycleConfigs",
                "sagemaker:ListNotebookInstances",
                "sagemaker:ListCodeRepositories"
            ],
            "Resource": "*"
        }
    ]
}
"

это дало бы каждому пользователю доступ к использованию его собственной записной книжки в sagemaker теперь в новом наборе разрешений SSO, который я дал:

      "
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "glue:CreateScript",
                "secretsmanager:*"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "sagemaker:ListTags",
                "sagemaker:DeleteNotebookInstance",
                "sagemaker:StopNotebookInstance",
                "sagemaker:CreatePresignedNotebookInstanceUrl",
                "sagemaker:Describe*",
                "sagemaker:StartNotebookInstance",
                "sagemaker:UpdateNotebookInstance",
                "sagemaker:CreatePresignedDomainUrl",
                "sagemaker:*"
            ],
            "Resource": "arn:aws:sagemaker:::notebook-instance/*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/Owner": "${identitystore:UserId}"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "sagemaker:ListTags",
                "sagemaker:Describe*",
                "sagemaker:StartNotebookInstance"
            ],
            "Resource": "*"
        }
    ]
}
"

это то, что я пытался, но я не могу заставить его работать, пожалуйста, помогите? я также использую атрибуты и многое другое, но я просто не могу заставить его работать, пожалуйста, если у вас есть какие-либо предложения

Answer 1

очевидно, в наборе разрешений SSO мы должны указать регион и номер учетной записи ресурса, поэтому исправление просто добавляло это в часть ресурса, подобную этой.

      {
"Version": "2012-10-17",
"Statement": [
    {
        "Effect": "Allow",
        "Action": [
            "glue:CreateScript",
            "secretsmanager:*"
        ],
        "Resource": "*"
    },
    {
        "Effect": "Allow",
        "Action": [
            "sagemaker:ListTags",
            "sagemaker:DeleteNotebookInstance",
            "sagemaker:StopNotebookInstance",
            "sagemaker:CreatePresignedNotebookInstanceUrl",
            "sagemaker:Describe*",
            "sagemaker:StartNotebookInstance",
            "sagemaker:UpdateNotebookInstance",
            "sagemaker:CreatePresignedDomainUrl"
        ],
        "Resource": "arn:aws:sagemaker:us-east-1:7XXXXXXXXX:notebook-instance/*",
        "Condition": {
            "StringEquals": {
                "sagemaker:ResourceTag/Owner": "${identitystore:UserId}"
            }
        }
    },
    {
        "Sid": "VisualEditor1",
        "Effect": "Allow",
        "Action": [
            "sagemaker:ListNotebookInstanceLifecycleConfigs",
            "sagemaker:ListNotebookInstances",
            "sagemaker:ListCodeRepositories"
        ],
        "Resource": "*"
    }
]

}

благодаря Yash_c из repost.aws