管理多个 AWS VPC - 变成子网/ec2 实例的水果沙拉

Question

我们刚刚开始使用 AWS。我们需要多个 VPC，每个 VPC 都托管我们自己的服务器或客户的服务器。每个 VPC 有 4 个子网 - 2 个公网、2 个私网，每个子网位于不同的可用区。每个 VPC 有 7 个或更多 EC2 实例。

我们通过 AWS Web 控制台进行管理。但是，即使有 2 个 VPC，每个开发人员也可以看到所有 EC2 实例和所有子网，这变得有点混乱。理想情况下，我们希望使用 IAM 来限制 VPC 的可见性，但我找不到 VPC 的 ARN。这存在吗？

或者我们应该为每个 VPC 创建一个单独的 AWS 账户以保持独立？但那么您如何管理用户呢？

Answer 1

目前看来 VPC 不支持 ARN 记录。因此：

不要从授予对特定 VPC 的访问权限的角度来考虑这个问题。相反，请使用实例标签并通过 IAM 组向标有特定字符串的实例授予访问权限。

此外，您确实应该使用 Cloudformation 来创建和管理您的 VPC。这样做在可重复性和可维护性方面会产生很大的不同。

Answer 2

AWS 有一项新功能，即使用标签来限制 IAM 角色。例如，您可以设置一组带有“数据库”或“生产”标签的服务器，并阻止用户仅使用该组 EC2 实例执行任何操作。

我不确定你是否可以完全阻止他们看到它们。StackOverflow 上有更深入的讨论这里关于这一点，你可以使用类似用户化来管理盒子本身的 SSH 访问。