AWS默认访问策略SNS主题和SQS q

Question

为了进一步加强我们解决方案的安全性，我们现在正在研究使用的SNS主题和SQS队列。我们的所有组件都位于同一个AWS帐户中。

首先，我们希望限制对基于IP的SQS队列的访问。因此，只允许来自NAT网关IP的请求。我们不允许匿名访问SQS队列。

但似乎没有办法实现这一点，因为SQS队列的创建者（AWS帐户id）在默认情况下具有访问权限。因此，您无法在同一AWS帐户id中为其他用户创建有效权限。因为新创建的用户user2将属于同一AWS帐户id，具有相同的权限集。

我的理解是否正确，即同一个AWS账户ID中的所有用户默认都可以访问所有创建的SQS队列，只要他们的IAM策略允许？我的假设对SNS主题也有同样的行为吗？

以下是我希望实施的政策。除此政策外，我没有其他针对此SQS q的有效政策。但它不尊重源IP条件。当我使用正确的AWS访问密钥/密码组合时，我仍然可以从任何地方连接。只有当我将AWS原则设置为“所有人”时，该政策才显得有效。

{
  "Version": "2012-10-17",
  "Id": "arn:aws:sqs:eu-west-1:4564645646464564:madcowtestqueue/SQSDefaultPolicy",
  "Statement": [
    {
      "Sid": "Sid1589365989662",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::4564645646464564:user/user2"
      },
      "Action": [
        "SQS:DeleteMessage",
        "SQS:SendMessage",
        "SQS:ReceiveMessage"
      ],
      "Resource": "arn:aws:sqs:eu-west-1:143631359317:madcowtestqueue",
      "Condition": {
        "IpAddress": {
          "aws:SourceIp": "1.1.1.1"
        }
      }
    }
  ]
}

参考：

>

在Amazon SNS中使用基于身份的策略-Amazon Simple Notify Service

Answer 1

亚马逊SQS

Amazon SQS能够定义Amazon SQS策略。除了IAM策略之外，还可以使用这些策略来授予对队列的访问权限。

例如，可以添加允许匿名访问队列的策略，这对于外部应用程序向队列发送消息非常有用。

有趣的是，这些策略还可用于通过IP地址控制对队列的访问。

为了测试这一点，我做了以下工作：

• 创建了一个Amazon SQS队列

{
  "Version": "2012-10-17",
  "Id": "Queue1_Policy_UUID",
  "Statement": [
    {
      "Sid": "Queue1_AnonymousAccess_AllActions_IPLimit_Deny",
      "Effect": "Deny",
      "Principal": "*",
      "Action": "SQS:SendMessage",
      "Resource": "arn:aws:sqs:ap-southeast-2:xxx:queue",
      "Condition": {
        "NotIpAddress": {
          "aws:SourceIp": "54.1.2.3/32"
        }
      }
    }
  ]
}

IP地址是我的Amazon EC2实例的IP地址。

• 然后，我尝试再次从EC2实例向队列发送消息——成功
• 然后，我从自己的计算机上运行了相同的命令——没有成功

因此，SQS策略似乎可以覆盖通过IAM授予的权限。

（小心……我在队列上添加了一个拒绝sqs:的策略，我无法编辑该策略或删除队列！我必须使用根帐户删除它。）

亚马逊SNS

我使用这种访问策略成功地实现了与Amazon SNS相同的结果：

{
  "Version": "2008-10-17",
  "Id": "__default_policy_ID",
  "Statement": [
    {
      "Sid": "__default_statement_ID",
      "Effect": "Deny",
      "Principal": {
        "AWS": "*"
      },
      "Action": "SNS:Publish",
      "Resource": "arn:aws:sns:ap-southeast-2:xxx:topic",
      "Condition": {
        "NotIpAddress": {
          "aws:SourceIp": "54.1.2.3/32"
        }
      }
    }
  ]
}