AWS IAM Policy Generator: Least-Privilege-IAM-, S3-Bucket- und Trust-Policies — als JSON oder Terraform.

Eine IAM-Richtlinie ist ein JSON-Dokument, das festlegt, welche Aktionen auf welchen Ressourcen erlaubt oder verweigert sind, optional unter Bedingungen. Eine identitätsbasierte Richtlinie hängt an einem Benutzer, einer Gruppe oder einer Rolle und gewährt dieser Identität ihre Berechtigungen, deshalb hat sie kein Principal-Element. Eine ressourcenbasierte Richtlinie hängt an der Ressource selbst — einem S3-Bucket, einer SQS-Queue, einem KMS-Schlüssel — und muss den Principal nennen, für den sie gilt. Greifen beide innerhalb desselben Kontos für eine Anfrage, kombiniert AWS sie, und ein explizites Deny in einer der beiden gewinnt immer.

Das Principal-Element. Eine IAM-Richtlinie hängt an einem Benutzer, einer Gruppe oder einer Rolle, der Principal ergibt sich also von selbst, und das Element ist nicht erlaubt. Eine Bucket-Richtlinie hängt am Bucket, deshalb muss jedes Statement sagen, für wen es gilt — ein anderes Konto, eine Rollen-ARN, ein Dienst wie cloudfront.amazonaws.com oder "*" für alle. Der Generator setzt das in beide Richtungen durch: Im Bucket-Modus verlangt er einen Principal, im Identitätsmodus lehnt er ihn ab, und er warnt, wenn ein Bucket-Statement Principal "*" ohne Condition gewährt.

Gewähren Sie nur die Aktionen, die der Workload tatsächlich aufruft, und nur auf den Ressourcen, die er berührt: konkrete Aktionen statt s3:* oder *, echte ARNs in Resource statt "*". Ergänzen Sie Bedingungen, wo sie den Zugriff weiter einschränken, etwa aws:SourceVpce, aws:PrincipalOrgID oder ein Ressourcen-Tag. Lassen Sie das Ergebnis anschließend von AWS prüfen: IAM Access Analyzer validiert eine Richtlinie gegen die AWS-Best-Practices und kann aus dem CloudTrail-Verlauf einer Rolle eine Richtlinie mit genau den genutzten Aktionen erzeugen. Der Generator markiert Wildcard-Aktionen, Resource "*" bei Schreib- und Berechtigungsverwaltungsaktionen sowie Allow mit NotAction.

Eine kundenverwaltete Richtlinie darf höchstens 6.144 Zeichen lang sein. Inline-Richtlinien sind pro Identität begrenzt, als Summe aller angehängten Inline-Richtlinien: 2.048 Zeichen für einen Benutzer, 10.240 für eine Rolle und 5.120 für eine Gruppe. IAM zählt Leerraum dabei nicht mit, deshalb misst die Größenanzeige das minifizierte JSON. Für eine S3-Bucket-Richtlinie gilt ein eigenes Limit von 20 KB, und keines dieser Zeichenlimits lässt sich per Kontingentanfrage erhöhen.

Der Terraform-Tab schreibt dieselben Statements als data "aws_iam_policy_document"-Block, den Terraform beim Plan zu JSON rendert. Verweisen Sie überall dort auf sein json-Attribut, wo eine Richtlinie erwartet wird: policy = data.aws_iam_policy_document.example.json in einer aws_iam_policy für eine verwaltete Richtlinie, in einer aws_iam_role_policy für eine Inline-Rollenrichtlinie oder in einer aws_s3_bucket_policy für eine Bucket-Richtlinie. Wer lieber das rohe JSON behält, kann auch jsonencode() oder ein Heredoc nutzen, doch mit der Datenquelle bleibt die Richtlinie in HCL und lässt sich sauber diffen.

Aus der AWS Service Reference, den maschinenlesbaren JSON-Dateien, die AWS für jeden Dienst mit seinen Aktionen, Ressourcentypen und Bedingungsschlüsseln veröffentlicht. Die Seite nennt das Abrufdatum der Daten, und die Liste umfasst 12 häufig genutzte Dienste: S3, EC2, Lambda, DynamoDB, IAM, CloudWatch Logs, SQS, SNS, KMS, STS, Secrets Manager und ECR. Jede Aktion trägt ihre Zugriffsebene — Read, List, Write, Permissions management oder Tagging — und die Ressourcentypen, auf die sie sich einschränken lässt; daraus entstehen die ARN-Vorlagen und die Warnungen. Für alle anderen Dienste ist die Service Authorization Reference in der AWS-Dokumentation die maßgebliche Liste.

Eine Vertrauensrichtlinie ist die ressourcenbasierte Richtlinie an einer IAM-Rolle, die festlegt, wer die Rolle übernehmen darf; die Berechtigungsrichtlinien der Rolle bestimmen dann, was dieser Principal danach tun kann. Für GitHub Actions mit OIDC erlaubt die Vertrauensrichtlinie sts:AssumeRoleWithWebIdentity für den föderierten Principal token.actions.githubusercontent.com, mit Bedingungen, nach denen der aud-Claim gleich sts.amazonaws.com sein und der sub-Claim zu Ihrem Repository passen muss, etwa repo:my-org/my-repo:ref:refs/heads/main — oder, für nach dem 15. Juli 2026 angelegte Repositories, die unveränderliche Form repo:my-org@<owner-id>/my-repo@<repo-id>:ref:refs/heads/main. Ohne die sub-Bedingung könnte jedes GitHub-Repository die Rolle übernehmen. Eine Vertrauensrichtlinie ist standardmäßig auf 2.048 Zeichen begrenzt, erhöhbar auf bis zu 8.192.

Nein. Der Generator läuft zu 100 % clientseitig: Der Aktionskatalog wird mit der Seite ausgeliefert, und jede Richtlinie wird in Ihrem Browser-Tab erstellt. Nichts wird auf einen Server hochgeladen, es gibt kein Konto und keine Anmeldung, und der Teilen-Link kodiert Ihre Richtlinie im URL-Fragment, das Browser nie an einen Server senden.