将iam策略附加到RunInstances的每个角色

Question

我有一个iam policy，要求Runinstances还包含我们财务部门认为需要的四个标签。

我想将此政策附加到所有角色，但是，我们无法使用AWS Orgs。

我可以通过哪些方式实现这一目标？我想到的一些想法是

• CloudView事件监控RunInstances事件，然后确定 使用了哪个角色并将我的iam政策附加到它。 （如果没有包含标签，后续的RunInstances调用将被拒绝）
• 使用boto（已调度）迭代帐户中的所有角色并附加我的iam政策。

实现部署iam策略的目标有什么好方法，以便RunInstances事件包含所需的标记？

Answer 1

有两种方法可以强制执行标记：

• 在启动实例时强制执行它们，或
• 定期检查实例identifying instances that violate a tagging policy

AWS Organizations无法提供此级别的细粒度控制 - 它只能在没有任何条件的情况下授予或拒绝特定的API调用（例如ec2:RunInstance）。

要在启动时强制执行标记，您需要修改授予RunInstances权限的所有策略。或者，您可以创建拒绝策略并将其附加到所有用户，这将覆盖标准的允许策略。请参阅：EC2 IAM policy to require tags