IAM策略允许SMS发布，但不拒绝所有SNS

Question

我想设置IAM策略以允许用户发布到SNS以发送SMS并发布到特定的SNS arn。

我找到了一种允许短信发布而不允许任何SNS发布的方法：使用亚马逊SNS客户端发送短信时的授权

{

    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "sns:Publish"
            ],
            "Resource": "arn:aws:sns:*:*:*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "sns:Publish"
            ],
            "Resource": "*"
        }
    ]
}

但是这个策略明确拒绝所有其他SNS发布，所以我不能添加允许特定SNS发布的策略。

问题是SMS发布没有特定的arn。

所以我正在寻找一种方法来限制只允许发布短信的条件。但是具体的短信参数(phone number cf https://docs . AWS . Amazon . com/AWSJavaScriptSDK/latest/AWS/SNS . html # publish-property)不能在条件中过滤:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": "sns:Publish",
            "Resource": "*",
            "Condition": {"Null":{"PhoneNumber":"false"}}
        }
    ]
}

有办法实现这样的政策吗？

Answer 1

实际上，为了达到这个目的，我找到了一种使用allow with < code > not resource JSON策略元素(spec)的方法。我使用这个属性来匹配没有ARN的资源:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "sns:Publish"
            ],
            "NotResource": "arn:aws:sns:*:*:*"
        }
    ]
}

有了这个技巧，我可以允许所有sns发布没有ARN(但我不知道是否有任何其他服务，然后短信...).

这也允许我允许ARN在另一项政策中具体说明。