Question

我在AWS上有几个ec2实例，我想知道哪个是组织它们以保持秩序的最佳方式。据我所知，不可能将此类实例分组，例如在文件夹或类似的东西的帮助下。所以我想出的解决方案是坚持命名约定。因此，我的实例的名称将如下所示：

examplecustomer-Ubuntu的14.0.4-t2.micro-1
examplecustomer-Ubuntu的14.0.4-t2.micro-2
examplecustomer1-Ubuntu的14.0.4-t2.micro-1
examplecustomer1-Ubuntu的14.0.4-t2.micro-2

现在我有几个用户/客户应该只看到特定的实例（例如，customer1应该只看到以examplecustomer1开头的实例）。因此，我创建了一个策略并将其附加到用户。我的想法是在ARN-Resourcepath中使用通配符，但这似乎不起作用。有没有人知道如何实现这一目标？

示例政策：

  {
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Stmt1443859866333",
      "Action": "ec2:*",
      "Effect": "Allow",
      "Resource": "arn:aws:ec2:region:account-id:instance/customer1*"
    }
  ]
}

我无法通过documentation

找到解决方案

Answer 1

您无法使用IAM策略完成隐藏实例。您当然可以限制用户可以对实例执行的操作，如上所述，或者通过标记＆＃39;实例并根据这些标签向特定用户授予特权。

您可能会发现此博客文章很有用：

https://blogs.aws.amazon.com/security/post/Tx2KPWZJJ4S26H6/Demystifying-EC2-Resource-Level-Permissions

还有：

目前，Amazon EC2 ec2：Describe * API操作不支持资源级权限，因此您无法控制哪个人用户可以在控制台中查看的资源。因此，*通配符是在上述声明的Resource元素中必需的。更多有关哪些ARN可以与哪些Amazon EC2 API一起使用的信息操作，请参阅Amazon EC2 API支持的资源级权限动作。

从这里： http://docs.aws.amazon.com/AWSEC2/latest/UserGuide/iam-policies-ec2-console.html

如何授予对亚马逊网络服务特定实例的访问权限

1 个答案: