amazon-web-services - IAM 政策不允许 EC2 访问

Question

我有一个政策:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Stmt1429817158000",
            "Effect": "Allow",
            "Action": [
                "ec2:*"
            ],
            "Resource": [
                "arn:aws:ec2:*"
            ]
        }
    ]
}

那是附加到一个组。该组有一个用户。当我使用该用户的凭据登录 myloginthing.signin.aws.amazon.com 时，我无法执行与 EC2 相关的任何操作。对于页面上的每个操作，它都会为我提供诸如“您无权描述正在运行的实例”之类的消息。

IAM 策略模拟器告诉我任何操作都被拒绝，因为

Implicitly denied (no matching statements found).

我错过了什么？

Answer 1

这实际上花了我一段时间才弄明白。

事实证明，您必须将每个操作(在您的示例中为 ec2:* )与一组允许的资源(在您的示例中为 arn:aws:ec2:* )匹配。

问题在于并非每个操作都具有相同的一组允许资源 - 因此，虽然您可以为 RunInstances 使用许多不同的资源，但 DescribeInstances 仅支持 *.

完整列表可用 here

(注意:发布链接是因为a)列表非常大，并且b)它可能会随着时间的推移而发生显着变化。