☰

使用 IAM 账户限制 EC2 实例的可见性

tag-icon • tag-icon amazon-ec2 amazon-web-services amazon-iam
使用 IAM 账户限制 EC2 实例的可见性

我正在寻找一种方法来将 ec2 实例的可见性限制到某些 IAM 帐户。我非常希望有一种方法让特定帐户只能看到它创建的实例，即当它执行 describeInstances 时，只有它创建的实例才会出现。

我一直在研究使用基于资源标签的自定义 IAM 策略来执行此操作，虽然管理看起来没问题，但每个帐户仍然可以看到其他用户使用 describeInstances 创建的实例。

我确实正在寻找一种方法来隐藏由不同 IAM 账户创建的资源。目前可以实现吗？

答案1

如果您的用户资源不需要互操作，那么另一种选择是使用多个独立的 AWS 账户，然后设置合并账单，以便将所有账户的账单汇总在一张账单上。

您的每个用户都有自己的 AWS 账户。他们只能看到自己账户中的资源。

答案2

很遗憾AWS 身份和访问管理 (IAM)截至目前，还没有完全涵盖这一特定方面，因为最近推出的EC2 和 RDS 资源的资源级权限尚未适用于所有 API 操作，请参阅此说明Amazon EC2 的 Amazon 资源名称：

重要的目前，并非所有 API 操作都支持单个 ARN；稍后我们将添加对其他 API 操作和其他 Amazon EC2 资源的 ARN 的支持。有关哪些 ARN 可以与哪些 Amazon EC2 API 操作一起使用以及每个 ARN 支持的条件键的信息，请参阅Amazon EC2 API 操作支持的资源和条件。

你会发现，所有的ec2:Describe*行动确实仍然缺席Amazon EC2 API 操作支持的资源和条件在撰写本文时。

也可以看看向 IAM 用户授予 Amazon EC2 资源所需的权限有关上述内容的简要概述和详细信息您可以在 IAM 策略语句中使用 ARN 和 Amazon EC2 条件键，以授予用户创建或修改特定 Amazon EC2 资源的权限- 本页还提到 AWS 将在 2014 年添加对其他操作、ARN 和条件键的支持。

相关内容