云平台开发辅助

IAM 策略验证

粘贴一份策略 JSON，逐条查看声明、格式化结果和静态报告。

示例

策略 JSON

声明树与结果

声明 1 · ReadReports

效果: Allow
Action: s3:GetObject s3:ListBucket
Resource: arn:aws:s3:::example-reports arn:aws:s3:::example-reports/*
Condition: StringEquals · aws:RequestedRegion: ["us-east-1"]

审阅提示（1）

请复核 Resource 中的通配符。位置 /Statement/0/Resource/1

策略文本只在此浏览器处理，不发送 AWS 请求。

选项

自动检查缩进

声明 1 条；错误 0 项；审阅提示 1 项。

审查多条 Statement 时，IAM 策略验证把每条声明的 Action、Resource 和 Condition 放在一起。遇到 NotAction 或信任策略，先看清原字段，比从一句 Allow 猜权限可靠。

本地结果只描述当前文档。IAM 策略验证没有账号里的其他策略、组织限制或请求上下文，所以不能宣布操作实际获准。它可辅助 IAM 策略检查，也可当作轻量 IAM 策略解读器；不同于 JSON 策略编辑器，格式化结果不会写回原文。

为什么用 IAM 策略验证查看声明

保留声明的原貌

IAM 策略验证按输入顺序展开 Statement；Action 和 NotAction、Resource 和 NotResource 不会混写。Condition 的操作符、键和值仍对应原文。

错误与提示分开

互斥字段及 JSON 语法问题是错误；通配符和反向字段只提示人工复核。有些 AWS 操作要求 Resource 为星号，提示并不等于策略无效。

按三个层次读懂结果

确认文档形态

Statement 可以是对象或数组。角色信任示例展示含 Principal 而无 Resource 的声明；普通身份式声明缺少 Resource 则会报错。

对照三种视图

默认显示声明树。格式化视图输出独立的两空格 JSON，不覆盖输入；报告视图保留字段路径。改动缩进后，旧导出立即失效。

核对导出范围

状态分别计数错误和审阅提示。语法通过才可下载格式化策略；即使树只显示前 50 项，报告仍包含全部声明与诊断。

本地检查提取什么

声明字段树

逐条列出 Sid、Effect、Action 或 NotAction、Resource 或 NotResource、Principal 与 Condition。原有对象和数组顺序不变。

可定位的问题

严格 JSON 错误给出行列，字段类型和互斥组合给出路径。IAM 策略验证让复核者能返回具体声明。

不覆盖原文的格式化

格式化生成另一份结果。重复键和不安全大整数会阻止格式化，避免悄悄覆盖动作或改变条件数值。

完整 JSON 报告

报告记录静态范围、声明和诊断代码。折叠树节点或分页查看不会裁剪复制、下载的数据。

静态结果的适用边界

不计算最终权限: IAM 策略验证只读当前文档。身份策略、资源策略、SCP、权限边界、会话策略和请求条件会共同影响最终授权。
不查询服务目录: Action 和 Condition 按原样展示；工具不能证明某个操作、资源类型或条件键仍受 AWS 服务支持。
不展开通配符: 星号和问号是审阅提示，不是语法错误或管理员权限证明。NotAction 与 NotResource 保持反向字段。
只处理严格 JSON: 注释、尾逗号、YAML 和多份拼接策略都会失败。含 Principal 的信任策略可没有 Resource；工具不会猜测其他附着类型。
不修复也不联网: 格式化只输出新文本，不删除 Deny、不执行 Condition，也不请求 AWS 或确认资源是否存在。