amazon-ec2 - AWS IAM 角色 : Policy with permissions only over the instance itself and not every resource

Question

我会尽力解释我的问题。

我想使用自己的 RebootPolicy 创建一个 IAM 角色，当附加到 EC2 实例时，允许该实例自行重启(但仅限其自身)。目前我唯一能做的就是创建一个角色，其策略允许在所有实例中重新启动。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": "ec2:RebootInstances",
            "Resource": "*"
        }
    ]
}

我知道从技术上讲我可以将实例的特定 ID 添加到策略中，但我的想法是我可以在任何我想要的实例中使用该策略，而不仅仅是特定的实例。我尝试按照 https://docs.aws.amazon.com/IAM/latest/UserGuide/list_amazonec2.html 上的文档进行操作但不知道如何实现。

有什么想法吗？提前致谢!

Answer 1

您可以使用 ec2:SourceInstanceARN IAM 策略变量自引用 EC2。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": "ec2:RebootInstances",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:ARN": "${ec2:SourceInstanceARN}"
                }
            }
        }
    ]
}