时间戳

首页 > 解决方案 > AWS IAM 政策 - 限制 VPC 租赁

amazon-web-services - AWS IAM 政策 - 限制 VPC 租赁

问题描述

要求：限制 IAM 用户创建具有专用租户的 VPC 。IAM 用户应该只能使用默认租期创建 VPC 。

IAM 用户附加的 IAM 策略： 

    {
        "Sid": "limitedTenancyVpc",
        "Effect": "Deny",
        "Action": "ec2:CreateVpc",
        "Resource": "arn:aws:ec2:*:*:vpc/*",
        "Condition": {
            "ForAnyValue:StringNotLike": {
                "ec2:Tenancy": [
                    "default"
                ]
            }
        }
    }

我知道 VPC InstanceTenancy是要使用的关键字。我尝试过使用它，但它不起作用。附加此策略的 IAM 用户能够创建具有专用租赁的 VPC 。

请建议。

标签： amazon-web-servicesamazon-vpc

解决方案

无法对此进行限制，因为没有与 ec2:CreateVPC 操作关联的条件。请参阅可用EC2 条件键的列表。

但是，ec2:tenancy条件可用于 ec2:runInstances。因此，您可以改为拒绝使用专用租赁作为护栏来启动实例的请求。

有 3 种不同的租户类型：默认、专用和主机。如果租户设置为主机或专用，则拒绝请求。

{
    "Sid": "limitedTenancyVpc",
    "Effect": "Deny",
    "Action": "ec2:RunInstances",
    "Resource": "*",
    "Condition": {
        "ForAnyValue:StringEquals": {
            "ec2:Tenancy": [
                "host", 
                "dedicated"
            ]
        }
    }
}

推荐阅读