amazon-web-services - AWS IAM 策略拒绝对自动扩展组或 ECS 集群内的任何 EC2 实例的权限

Question

我有一个 EC2 启动类型的 ECS 集群和一个自动缩放组来自动调整集群中 EC2 节点的数量。

编写一个 IAM 策略来拒绝对集群和 ASG 的所有访问非常简单。我还想将任何非读取ec2IAM 权限限制为作为该集群的一部分启动的 EC2 实例本身。那可能吗？我不能使用实例 ID，因为实例的数量会动态变化。

这是一个示例 IAM 策略。如您所见，Resource被定义为一个实例 ID，这不适用于我的情况。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "",
            "Effect": "Deny",
            "Action": [
                "ec2:RebootInstances",
                "ec2:TerminateInstances",
                "ec2:StopInstances"
            ],
            "Resource": "arn:aws:ec2:us-east-1:123456789000:instance/i-123456789"
        }
    ]
}

标签： amazon-web-servicesamazon-iamamazon-ecs

Answer 1

我相信 ASG 启动的实例将具有您可以识别它们的标签。您应该能够根据所述标签应用策略。