根据 EC2 实例和用户限制对 S3 的访问

【问题标题】：Restrict access to S3 based on EC2 Instance and User根据 EC2 实例和用户限制对 S3 的访问
【发布时间】：2017-03-17 07:21:23
【问题描述】：

我在之前的帖子中看到，我可以使用 EC2 实例 IAM 角色限制对 S3 存储桶的访问。但这里的问题是，如果我有一个包含多个用户的账户，我不能将 IAM 角色的使用限制为该账户中的特定组或个人。这种无能阻止我阻止该账户中的任何人使用该 IAM 角色旋转实例。

所以我的困境是，如果我已根据 EC2 角色授予 S3 访问权限，并且无法锁定账户中可以使用该角色的用户，这将向账户中的每个人打开我的 S3 存储桶。

如果有什么办法，请告诉我 (1) 限制 EC2 实例使用特定角色启动，或者， (2) 根据登录实例的 EC2 角色和用户限制 S3 访问。

【问题讨论】：

【解决方案1】：

启动已分配的 Amazon EC2 实例需要 PassRole 权限，该权限可以进一步指定可以将哪些角色传递给实例。

默认情况下，您不应授予任何人PassRole 权限。然后，您可以将其分配给适当的用户/组，准确指定他们可以使用的角色。

这避免了权限有限的用户通过启动具有角色的实例，然后使用授予该实例的临时凭据执行超出其分配权限的活动来获得额外权限的机会。

这类似于AssumeRole 权限，它控制允许谁担任哪些角色。

【讨论】：