amazon-web-services - 如果不在 IP 中，则拒绝访问 AWS 控制台

Question

如果用户不在我们的网络或 VPN 之外，我想拒绝访问 AWS 控制台。我找到了这个策略，但我遇到了随机问题，即使用户在网络中并且附加了 AdministratorAccess，也会得到明确的拒绝。应该注意的是，我通过 Okta 使用基于角色的访问。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyOutOfOffice",
            "Effect": "Deny",
            "Action": "*",
            "Resource": "*",
            "Condition": {
                "NotIpAddress": {
                    "aws:SourceIp": [
                        "<insert IP>"
                    ]
                }
            }
        }
    ]
}

标签： amazon-web-servicesamazon-iam

Answer 1

我已经解决了这个问题。这与 AWS 使用其内部 IP 和系统进行内部调用有关，由于我的策略，这自然会导致错误。目前唯一的解决方法是将使用 AWS 内部服务器的特定服务列入白名单。