AWS IAM用户应该使用哪些策略模板来部署EB应用程序？

Question

AWS IAM用户应该使用哪些策略模板来部署和维护EB应用程序（例如来自客户端计算机的网站代码）？ IAMReadOnlyAccess加上PowerUserAccess似乎已经足够了，但我想知道后者是否过度杀伤。我可以将策略限制为单个EB实例或应用程序吗？

Answer 1

在Web控制台中创建IAM角色时，会有一个名为ElasticBeanstalkFullAccess的预定义角色。这将为您提供弹性beanstalk所需的所有底层资源的完全权限。您可以看到general doc on this.

限制特定环境或应用程序要困难得多，但可行。它要求您使用arn限制用户使用特定资源，包括所有底层资源及其arn。 See the doc on this.

作为参考，完全弹性beanstalk政策如下所示：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "elasticbeanstalk:*",
        "ec2:*",
        "elasticloadbalancing:*",
        "autoscaling:*",
        "cloudwatch:*",
        "s3:*",
        "sns:*",
        "cloudformation:*",
        "rds:*",
        "sqs:*",
        "iam:PassRole"
      ],
      "Resource": "*"
    }
  ]
}