用途：IAM 权限边界是 AWS 的高级功能，用于限制身份策略可授予 IAM 实体（用户或角色）的最大权限。有效权限是身份策略与权限边界的交集，即使身份策略授予 AdministratorAccess，边界也会将其限制在允许的操作内。它让集中安全团队可安全地把 IAM 角色与策略创建委派给应用开发者，而不必担心权限提升。
主要能力与评估逻辑：AWS 按顺序评估——任意策略中的显式 Deny 始终优先；Organizations SCP 设定组织级上限；权限边界设定实体级上限；身份策略授予实际权限；资源策略用于跨账户访问（单独评估）。实体只有在所有适用策略类型都允许时才能执行操作。
典型场景：开发者委派（允许开发者创建 IAM 角色而不越界）、沙箱隔离、多租户工作负载、CI/CD 流水线角色限制。
使用方式：先创建定义最大允许权限的托管策略（含允许服务、iam:PassRole 条件、拒绝删除或修改边界、拒绝移除边界的 Deny 语句），再创建要求新角色必须附带边界的开发者委派策略，然后附加边界。必要命令保持原样： aws iam create-policy --policy-name DeveloperBoundary --policy-document file://developer-boundary.json aws iam put-role-permissions-boundary --role-name developer-role --permissions-boundary arn:aws:iam::123456789012:policy/DeveloperBoundary aws iam create-role --role-name app-lambda-executor --assume-role-policy-document file://trust-policy.json --permissions-boundary arn:aws:iam::123456789012:policy/DeveloperBoundary 也可用 Terraform 的 aws_iam_policy 与 aws_iam_role 的 permissions_boundary 字段部署。
前提与限制：需要具备 IAM 管理访问权限的 AWS 账户、理解 IAM JSON 策略语言、配置好凭证的 AWS CLI v2，以及 Terraform 或 CloudFormation。边界必须包含拒绝语句，防止开发者移除自身角色边界、修改边界策略、创建不带边界的角色或借 IAM 提权。资料未提供具体价格、平台支持范围或效果数据。