amazon-web-services - 限制 AWS 用户只允许他们将 EC2 实例启动到特定子网

Question

我有一些用户，我想限制他们可以在哪些子网中启动 EC2，但似乎无法弄清楚如何执行此操作。我尝试在 IAM 中挖掘但无法在其中找到它。这可以在 AWS 中实现吗？

Answer 1

是的，您可以使用身份和访问管理 (IAM) 服务来做到这一点。以下策略授予使用特定子网的权限。此外，它还提供了对用户在子网中正确启动实例所需的其他资源的开放访问权限:AMI、实例、网络接口(interface)、卷、 key 对等。

在子网中启动时，RunInstances 请求默认需要这些资源，因此用户在启动实例时需要访问这些资源的权限。

{
   "Version": "2012-10-17",
   "Statement": [{
      "Effect": "Allow",
      "Action": "ec2:RunInstances",
      "Resource": [
        "arn:aws:ec2:region::image/ami-*",
        "arn:aws:ec2:region:account:instance/*",
        "arn:aws:ec2:region:account:subnet/subnet-1a2b3c4d",
        "arn:aws:ec2:region:account:network-interface/*",
        "arn:aws:ec2:region:account:volume/*",
        "arn:aws:ec2:region:account:key-pair/*",
        "arn:aws:ec2:region:account:security-group/sg-123abc123"
      ]
    }
   ]
}

请注意，该策略还提供对特定安全组的访问权限。您可以根据需要修复它们，或提供 * 范围以允许它们指定任何安全组。

有关详细信息，请参阅 Launching instances into a specific subnet