AWS IAM 政策 - 限制 VPC 租赁

Question

要求：限制 IAM 用户创建具有专用租户的 VPC。 IAM 用户应该只能使用默认租期创建 VPC。

IAM 用户附加的 IAM 政策：

    {
        "Sid": "limitedTenancyVpc",
        "Effect": "Deny",
        "Action": "ec2:CreateVpc",
        "Resource": "arn:aws:ec2:*:*:vpc/*",
        "Condition": {
            "ForAnyValue:StringNotLike": {
                "ec2:Tenancy": [
                    "default"
                ]
            }
        }
    }

我知道对于 VPC，InstanceTenancy 是要使用的关键字。我尝试过使用它，但它不起作用。附加此策略的 IAM 用户能够创建具有专用租赁的 VPC。

请提出建议。

Answer 1

无法对此进行限制，因为没有与 ec2:CreateVPC 操作关联的条件。查看可用EC2 conditions keys的列表。

但是，ec2:tenancy 条件适用于 ec2:runInstances。因此，您可以改为拒绝使用专用租赁作为护栏来启动实例的请求。

共有 3 种不同的租赁类型：默认、专用和主机。如果租户设置为主机或专用，则拒绝请求。

{
    "Sid": "limitedTenancyVpc",
    "Effect": "Deny",
    "Action": "ec2:RunInstances",
    "Resource": "*",
    "Condition": {
        "ForAnyValue:StringEquals": {
            "ec2:Tenancy": [
                "host", 
                "dedicated"
            ]
        }
    }
}