AWS IAM强制部署所有实例的某些标记

Question

我正在创建一个实验室，我希望我的实验室用户创建的ec2实例被强制

1. 填写所有者标签。
2. 限制他们只能启动m4.xl和m4.2xl 编辑不再关心他们选择的实例
3. 部署时允许他们选择特定角色（由于某种原因，完全ec2访问权限拒绝他们选择角色的权限）

这是我目前的政策，我已经附加到实验室用户

   {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": "ec2:*",
            "Effect": "Allow",
            "Resource": "*"
        },

    **{
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::186473000259:role/lab_users"
        }**,

        {
            "Effect": "Allow",
            "Action": "elasticloadbalancing:*",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "cloudwatch:*",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "autoscaling:*",
            "Resource": "*"
        }
    ]
}

任何信息都会很棒！