我无法确定AWS IAM中缺少允许编辑防火墙规则的权限

Question

我正在尝试创建一个策略，无论我尝试哪种变体，它都不起作用。

我只是希望用户能够在安全组中编辑入站/出站规则。我最终放弃了指定资源的尝试，只是为了排除这一原因。

{
"Version": "2012-10-17",
"Statement": [
    {
        "Sid": "VisualEditor0",
        "Effect": "Allow",
        "Action": [
            "ec2:RevokeSecurityGroupIngress",
            "ec2:AuthorizeSecurityGroupEgress",
            "ec2:AuthorizeSecurityGroupIngress",
            "ec2:UpdateSecurityGroupRuleDescriptionsEgress",
            "ec2:CreateSecurityGroup",
            "ec2:RevokeSecurityGroupEgress",
            "ec2:DeleteSecurityGroup",
            "ec2:UpdateSecurityGroupRuleDescriptionsIngress"
        ],
        "Resource": "*"
    },
    {
        "Sid": "VisualEditor1",
        "Effect": "Allow",
        "Action": [
            "ec2:DescribeInstanceAttribute",
            "ec2:DescribeInstanceStatus",
            "ec2:DescribeInstances",
            "ec2:DescribeNetworkAcls",
            "ec2:DescribeSecurityGroups"
        ],
        "Resource": "*"
    }
]
}

我可以确认用户已正确添加到策略中，因为作为测试，我为用户提供了对所有内容的所有权限，并且它运行良好并显示了入站规则。

我甚至尝试了AWS文档，它告诉我一些权限甚至不存在：https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/iam-policies-ec2-console.html

“ec2：描述安全组规则”确切地说

Answer 1

看起来DescribeSecurityGroup规则是在您写这个问题的前2天添加的！

请参阅：使用新的安全组规则ID轻松管理安全组规则| AWS新闻博客

这可以解释为什么现有文档没有引用这些权限。

因此，我建议添加ec2： DescribeSecurityGroup规则和ec2： ModifySecurityGroup规则的权限。

要获得控制台的正确权限总是很棘手的，因为要知道控制台正在进行的所有API调用并不容易。在这种情况下，我们很幸运，控制台提到了所需的权限！有时，您可以通过检查AWS CloudTrail日志来发现正在进行的API调用。