用于按关联IAM角色限制实例的AWS IAM策略

Question

我想做什么（继续我之前问过的一个问题：如何通过PowerShell中的IAM角色过滤AWS实例，并获取该实例的私有IP地址？）获取具有特定IAM角色的实例的专用ip地址。我有一个完美的代码：

$filter = New-Object Amazon.EC2.Model.Filter -Property @{Name = "iam-instance-profile.arn"; Value = "arn:aws:iam::123456789012:instance-profile/TestRole"} 
$ec2 = @(Get-EC2Instance -Filter $filter)
$ec2instances = $ec2.instances 
$ipaddress = $ec2instances.privateipaddress

但是，现在我想创建一个IAM策略来限制用户只能获取具有特定IAM角色的实例的信息，而不是在代码中进行筛选。因此，如果他们试图get-ec2instance（例如），它应该只返回有关实例的信息，而不是帐户中的所有实例。

这是我的IAM政策，我有：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "ec2:DescribeInstances"
            ],
            "Effect": "Allow",
            "Resource": [
                "*"
            ],
            "Condition": {
                "ArnEquals": {
                    "ec2:InstanceProfile": "arn:aws:iam::12356789102:instance-profile/TestRole"
                }
            }
        }
    ]
}

但是，当我在Powershell上运行get-ec2instance时，我被告知我无权执行该操作。我认为这可能是因为get-ec2instance只适用于所有实例，但我不确定。

谢谢你的帮助，谢谢！

Answer 1

问题的原因是get-ec2instance试图描述所有实例，包括没有为其分配适当角色的实例。

当谈到描述EC2实例或列出S3存储桶时，您应该能够列出所有内容，否则会收到403错误。

我建议您仅出于html" target="_blank">安全目的限制对IAM的访问，并继续使用代码iteslf筛选您的实例。

请让我知道它是否适合你。

另外，当您决定使用IAM角色来组织您的访问时，您可能走错了方向。AWS提供了一种称为“资源标记”的功能。它的直接目的是根据结构组织资源和应用权限。更多信息请点击此处：http://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_examples.html#iam-policy-example-ec2-tag-permissions

Answer 2

到目前为止，没有任何选项可以限制IAM用户查看特定的EC2实例。

只有一个API调用存在ec2 descripe实例，这表明需要对所有实例拥有全部权限，或者不拥有任何权限。