具有资源标签条件的AWS Instance Connect

Question

我试图通过在实例连接策略中使用资源标签条件来限制对ec2实例的ssh访问。所以基本上我有这样的东西：

{
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": "ec2-instance-connect:SendSSHPublicKey",
        "Resource": "arn:aws:ec2:*:*:instance/*",,
        "Condition": {
            "StringEquals": {"ec2:ResourceTag/Squad": "blah"}
        }
      },
      {
        "Effect": "Allow",
        "Action": "ec2:DescribeInstances",
        "Resource": "*"
      }
    ]
}

但是，这似乎不起作用。实例连接不可以使用ec2:ResourceTag条件吗？我已经看到它可以在ec2:osuser这样的条件下工作，所以我想知道是否存在限制或我做错了什么。

Answer 1

我认为IAM策略无法限制ssh访问。我不确定，但是我还没有听到任何有关限制SSH的IAM策略。我认为必须将其设置到您的EC2实例中。