Разрешить роль пользователей, принадлежащих к группе с политикой IAM

Я пытаюсь настроить политику для роли AWS IAM, чтобы ограничить принятие роли определенной группой, но я не смог найти, как это сделать (или, если это невозможно), из Google и документации AWS.

Я создаю роль (называется операции ), которые будут использоваться людьми для выполнения операций в инфраструктуре AWS. Наше требование состоит в том, чтобы для доступа к этой роли была включена многофакторность (даже из интерфейса командной строки или API). Моим дополнительным требованием было бы разрешить выполнение роли только пользователям, принадлежащим к определенной группе (называемой операторы ).

Политика прилагается к операции в настоящее время я разработал это (номер счета заменен):

{
    "Version": "2012-10-17", 
    "Statement": [
        {
            "Action": "sts:AssumeRole", 
            "Effect": "Allow", 
            "Condition": {
                "Bool": {
                    "aws:MultiFactorAuthPresent": "true"
                }
            }, 
            "Principal": {
                "AWS": "arn:aws:iam::xxxxxxxxxxxx:root"
            }
        }
    ]
}

Как я могу добавить еще одно условие, чтобы ограничить принятие этой роли только операторы?

Это вообще возможно?

Спасибо!