只授予一个 EC2 实例权限？答案

【问题标题】：Give permissions to just one EC2 instance?只授予一个 EC2 实例权限？
【发布时间】：2018-08-20 11:38:31
【问题描述】：

我的 AWS 亚马逊账户中有多个 EC2 实例。我希望外包商使用一个特定的 EC2 实例（停止、启动、管理安全组、调整磁盘空间大小等）。

我尝试使用 IAM 策略执行此操作，但据我所见，DescribeInstances 允许用户查看我账户中的所有实例。当我尝试编辑特定资源的策略时，它会显示错误，因为它 DescribeInstances 不是资源级策略，因此它必须具有 Resource '*'。

我在想也许允许他访问不同的区域，然后将实例放在那里。另一种选择是使用组织（有点复杂，但看起来很有希望，如果这是要走的路会很高兴了解）。

我错过了什么吗？实现我需要的最佳解决方案是什么？

【问题讨论】：

【解决方案1】：

如果您想授予外包商调用您账户中 AWS 服务的权限，那么从安全角度来看，将这些资源放在子账户中会更安全强>.

这样，您可以保证他们的凭据不会影响您的任何其他资源和服务。

替代方案太复杂而无法管理。例如，安全组可以关联多个实例，一个实例可以有多个安全组。这不可能在 IAM 策略中进行编码。

【讨论】：

只是为了确认：您的子帐户是指使用组织？
我强烈推荐 John 的解决方案。恕我直言，每个人都应该至少有两个 AWS 帐户。一个帐户用于生产资源。另一个用于测试和开发的帐户。使用外部资源时，请使用第三个帐户。我们甚至为员工（开发人员）使用单独的帐户。 10 年前我们并没有这样做，并且发生了很多事故，例如删除错误资源、修改错误资源等。仅简化计费和资源分配就可以让多个帐户变得值得。
是的，“子账户”是指 AWS Organizations 下的单独账户。传统上，帐户是分层的（因此称为“子帐户”），但组织称它们为成员帐户。