amazon-web-services - AWS Amazon IAM 用户策略仅访问 EU-WEST-1 区域上的一个 EC2 实例

Question

我已经阅读了 AWS 文档，但它没有帮助……至少对我没有帮助。我已阅读有关 IAM 和 EC2 上的用户策略的信息。
我想让用户仅在一个 ec2 实例上具有完全访问权限/(或仅允许某些操作)。
我使用的地区是 eu-west-1(爱尔兰) .我制定了这个政策:

{
  "Version": "2012-10-17",
  "Statement": [{ 
    "Effect": "Allow",
    "Action":   "ec2:*", 
    "Resource": "arn:aws:ec2:eu-west-1:ACCOUNT_ID:instance/INSTANCE_ID"
  }]
}

当我以用户身份登录时，我看到我没有被授权:

您无权描述正在运行的实例

您无权描述弹性 IP

您无权描述卷

您无权描述快照

您无权描述 key 对

您无权描述负载均衡器

您无权描述归置组

您无权描述安全组

如果我对资源属性应用以下策略:

"Resource": "arn:aws:ec2:*"

没关系，但这不是我需要的，因为用户可以访问所有 EC2 实例。
我想知道这是否是 AWS 的错误，或者 eu-west-1 区域存在问题，或者此策略尚不支持？或者也许我错了，如果是这样，请帮助我怎么做

Answer 1

最近推出的Resource-Level Permissions for EC2 and RDS Resources尚不能用于所有 API 操作，但 AWS 正在逐渐添加更多，请参阅 Amazon Resource Names for Amazon EC2 中的此注释:

Important Currently, not all API actions support individual ARNs; we'll add support for additional API actions and ARNs for additional Amazon EC2 resources later. For information about which ARNs you can use with which Amazon EC2 API actions, as well as supported condition keys for each ARN, see Supported Resources and Conditions for Amazon EC2 API Actions.

你会发现所有 ec2:Describe* Supported Resources and Conditions for Amazon EC2 API Actions 中确实还没有 Action 在撰写本文时。

另见 Granting IAM Users Required Permissions for Amazon EC2 Resources有关上述内容的简明摘要以及 ARN 和 Amazon EC2 条件键的详细信息，您可以在 IAM 策略语句中使用它们来授予用户创建或修改特定 Amazon EC2 资源的权限 - 此页面还提到 AWS 将添加对其他2014 年的操作、ARN 和条件键。

可能的解决方法/替代方案

除了限制单个资源级别的访问之外，您可能还想使用 Conditions 来检查(也)。结合 Policy Variables , 至此 ec2:Region是受支持的 Condition Keys for Amazon EC2 之一- 您可以将您的政策与专门处理 Describe* 的政策结合起来。 Action ，例如像这样的东西(未经测试):

{
  "Statement": [
    {
      "Action": [
        "ec2:Describe*"
      ],
      "Effect": "Allow",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "ec2:Region": "eu-west-1"
        }
      }
    }
  ]
}

请注意，这仍然允许用户查看 eu-west-1 中的所有实例。 ，即使您的原始策略片段会阻止所有已经支持资源级别权限的 API 操作(例如实例创建/终止等)。

我在我对 How to hide instances in EC2 based on tag - using IAM? 的相关回答中的部分解决方法部分概述了另一种可能的方法。 .

祝你好运!