AWS Amazon IAM用户策略在EU-WEST-1区域上只访问一个EC2实例

Question

我读了AWS的文档，它没有什么帮助...至少对我来说不是。我已经阅读了有关IAM和EC2上的用户策略。

我使用的区域是eu-west-1（爱尔兰）。我制定了这个政策：

{
  "Version": "2012-10-17",
  "Statement": [{ 
    "Effect": "Allow",
    "Action":   "ec2:*", 
    "Resource": "arn:aws:ec2:eu-west-1:ACCOUNT_ID:instance/INSTANCE_ID"
  }]
}

null

这是可以的，但它不是我需要的，因为用户可以访问所有EC2实例。

我想知道这是AWS的一个bug还是eu-west-1区域有问题，还是这个策略不支持？或者也许我错了，如果是的话，请帮我怎么做

Answer 1

最近为EC2和RDS资源引入的资源级权限还不能用于所有API操作，但AWS正在逐步添加更多权限，请参见Amazon EC2的Amazon资源名称：

当前,并非所有API操作都支持单个ARN；稍后，我们将添加对附加API操作和ARN的支持，以获得附加AmazonEC2资源。有关Amazon EC2 API操作可以使用的ARN以及每个ARN的支持条件键的信息，请参见Amazon EC2 API操作的支持资源和条件。

您将发现，在编写本文时，所有EC2:descripe*操作仍然不在Amazon EC2 API操作的支持资源和条件中。

除了限制单个资源级别上的访问之外，您可能还希望使用与策略变量组合的条件检查（也），因为EC2:region是AmazonEC2支持的条件键之一-您可以将您的策略与专门处理descripe*操作的条件键组合，例如如下所示（未经测试）：

{
  "Statement": [
    {
      "Action": [
        "ec2:Describe*"
      ],
      "Effect": "Allow",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "ec2:Region": "eu-west-1"
        }
      }
    }
  ]
}

请注意，这仍然允许用户查看EU-West-1中的所有实例，即使您的原始策略片段将阻止所有已经支持资源级别权限的API操作（例如实例创建/终止等）。

在有关如何在EC2中基于使用IAM的标记隐藏实例的相关答案中，我在“部分变通”一节中概述了另一种可能的方法。

祝你好运！