根据资源标记IAM限制对EC2的访问

Question

如果实例的标签为“protected = true”，我试图限制对组的EC2实例的访问

我使用this AWS documentation作为向导，但我无法到达那里。

以下是相关政策：

{
        "Sid": "Stmt23578h8eh48r483h8r",
        "Effect": "Allow",
        "Action": [
            "ec2:*"
        ],
        "Resource": [
            "*"
        ]
    },
    {
        "Sid": "Stmt1513797341000",
        "Effect": "Deny",
        "Action": [
            "ec2:*"
        ],
        "Condition": {
            "StringEquals": {
                "ec2:ResourceTag/protected": "true"
            }
        },
        "Resource": [
            "*"
        ]
    },
    {
        "Sid": "58484htjg8rjf89438u8",
        "Effect": "Deny",
        "Action": [
            "ec2:CreateTags",
            "ec2:DeleteTags"
        ],
        "Resource": "*"
    }

如果发生ResourceTag匹配，那么这应该允许所有内容（这是好的）和然后拒绝所有内容。根据文档，我需要限制标记以保持用户接管资源。

然而这不起作用。该小组能够看到该实例。

Answer 1

无法根据标记限制查看权限，请参阅我的回答here。