如何允许 AWS 用户查看但不能启动、启动或停止实例

Question

我已经为 AWS 用户设置了这样的策略：

{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Effect":"Allow",
         "Action": "ec2:Describe*",
         "Resource":"*"
      }
   ]
}

其目的是允许使用此策略的用户在控制台上查看 EC2 实例，但实际上不对它们进行任何操作。问题是，一旦应用此策略，用户可以启动、停止、终止和启动新实例，即使上述策略 AFAIK 中没有解决这些权限。

为什么上述政策会发生这种情况，我可以做些什么来防止它（即实现我所追求的“查看但不触摸”结果）？

Answer 1

Amazon IAM 策略是默认拒绝，与显式拒绝不同，详见The Difference Between Denying by Default and Explicit Deny。

因此，默认情况下观察到的行为是不可能的，因此必须为该用户制定另一项政策，明确授予不受欢迎的操作，例如ec2:RunInstances。您可以通过以下选项来解决此问题：

识别/删除显式允许

您可以通过出色的新AWS Identity and Access Management Policy Simulator 来分析哪些策略允许不受欢迎的操作，这对此类问题非常有帮助。

添加显式拒绝

您可以为那些用户不应该执行的操作添加显式拒绝，例如：

{
  "Statement": [
    {
      "Action": [
        "ec2:RebootInstances",
        "ec2:RunInstances",
        "ec2:StartInstances",
        "ec2:StopInstances",
        "ec2:TerminateInstances"
      ],
      "Effect": "Deny",
      "Resource": "*"
    }
  ]
}

请注意，后者仍将允许您可能不想要的相当多的其他 EC2 操作，因此明确拒绝除所需操作之外的所有操作的更完整方法是促进NotAction：

NotAction 元素可让您指定操作列表的例外情况。例如，您可以使用 NotAction 让用户仅使用 Amazon SQS SendMessage 操作，而不必列出不允许用户执行的所有操作。与使用 Action 元素并列出许多操作相比，使用 NotAction 有时会导致更短的策略。

• 警告：请注意，使用 NotAction 表示明确的 Deny 时，很容易限制超出您的预期，甚至将自己锁定 - 始终确保 Resource 语句仅针对所需的资源。例如，简单地使用通用通配符* 而不是像arn:aws:ec2:*:*:* 这样的更具体的资源选择器归结为“拒绝所有服务对每个服务以外的所有操作” - 例如，这将包括再次删除错误策略的能力！最好通过预先仔细模拟策略来避免这种情况。

分别。政策可能如下所示：

{
  "Statement": [
    {
      "NotAction": [
        "ec2:Describe*"
      ],
      "Effect": "Deny",
      "Resource": "arn:aws:ec2:*:*:*"
    }
  ]
}

Answer 2

对于 user3086014，创建类似于以下的策略：

{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Effect":"Allow",
         "Action": [
             "ec2:DescribeInstances",
             "ec2:StartInstances",
             "ec2:StopInstances",
             "ec2:RebootInstances"
         ],
         "Resource":[
            "arn:aws:ec2:us-west-1:0123456789012:instance/i-ffffffff"
         ]
      }
   ]
}

将操作更改为您希望允许用户执行的操作。更改资源以识别 您的 实例 - 即更改帐户 ID（我在上面写了 0123456789012）和实例 ID（我在上面写了 i-ffffffff）。然后将该策略应用于您的用户。如果您想允许使用两个实例，请添加第二个 ARN，并在 ARN 之间使用逗号分隔符（需要 JSON 格式）。

请下次单独提问。在 cmets 本身中进行问答是很尴尬的。谢谢！