json - 实现标记的 AWS IAM 策略

Question

有没有办法在创建 EC2 实例时强制执行标记？ I,e 用户无法启动没有特定标签的实例。我可以使用该标签根据标签控制特定实例吗？

Answer 1

我在为客户工作时有一个类似的用例。答案是是的，你可以 !

您可以强制用户使用 IAM 策略应用特定标签。

例如，您可以将策略附加到拒绝 的用户/角色(最好是角色)。 ec2:运行实例 带有检查标签键和值是否不是您期望的条件的操作。由于此策略使用双重否定， 可能会有点令人困惑。拒绝 和 StringNotLike 但我相信以这种方式实现标记更容易，因为您可以将此策略添加到具有管理员策略并且仍然有效的角色。

    {
        "Sid": "ConditionalEC2creationName",
        "Effect": "Deny",
        "Action": "ec2:RunInstances",
        "Resource": "arn:aws:ec2:*:*:instance/*",
        "Condition": {
            "StringNotLike": {
                "aws:RequestTag/Name": "*"
            }
        }
    },
    {
        "Sid": "ConditionalEC2creationEnv",
        "Effect": "Deny",
        "Action": "ec2:RunInstances",
        "Resource": "arn:aws:ec2:*:*:instance/*",
        "Condition": {
            "StringNotLike": {
                "aws:RequestTag/Env": "*"
            }
        }
    }

不幸的是，我无法让它在单个块中工作，因为我没有时间对其进行优化。我认为这与 有关ForAllValues , ForAnyValue .

ForAllValues – 如果请求中的每个指定键值与策略中的至少一个值之间都匹配，则条件返回 true。如果请求中没有匹配的键，或者键值解析为空数据集(例如空字符串)，它也会返回 true。

ForAnyValue – 如果请求中的任一键值与策略中的任一条件值匹配，则条件返回 true。对于没有匹配的键或空数据集，条件返回 false。