एडब्ल्यूएस आईएएम एक्सेस मैनेजमेंट

Question

मुझे पता है कि आप सेवाओं तक पहुंच प्रतिबंधित करने के लिए आईएएम नीति सेट अप कर सकते हैं। हालांकि, क्या सेवा के एक हिस्से तक पहुंच की अनुमति देने के लिए नीति स्थापित करना संभव है।

उदा। मैं दो ईसी 2 उदाहरण हैं। मुझे दो उपयोगकर्ताओं को बनाने की जरूरत है कि उनके पास एडब्ल्यूएस कंसोल तक पहुंच है, लेकिन केवल एक ईसी 2 उदाहरण के लिए।

Answer 1

हाँ आप Resource-Level Permissions for EC2

साथ ऐसा कर सकते संसाधन की संरचना in the documentation कहा गया है इस प्रकार है:

:

arn:aws:[service]:[region]:[account]:resourceType/resourcePath 

यहाँ कैसे आप प्रत्येक उपयोगकर्ता के लिए IAM नीतियों की संरचना होती है उपयोगकर्ता 1

{ 
    "Version": "2012-10-17", 
    "Statement": [{ 
     "Effect": "Allow", 
     "Action": "ec2:*", 
     "Resource": "arn:aws:ec2:us-east-1:123456789012:instance/InstanceIdOne" 
    } 
    ] 
} 

EC2 के लिए उपयोग के बिना

उपयोगकर्ता 2

{ 
    "Version": "2012-10-17", 
    "Statement": [{ 
     "Effect": "Allow", 
     "Action": "ec2:*", 
     "Resource": "arn:aws:ec2:us-east-1:123456789012:instance/InstanceIdTwo" 
    } 
    ] 
} 

Answer 2

नीति: DescribeInstance काम नहीं करेगा। आपको सभी संसाधनों पर DescribeInstances पहुंच की अनुमति देने और आवश्यकता के आधार पर विशिष्ट उदाहरणों को हटाने, संशोधित करने जैसी अतिरिक्त पहुंच प्रबंधित करने की आवश्यकता है।

संक्षेप में, सभी उपयोगकर्ताओं को वर्णन टैग, इंस्टेंस, नेटवर्कएसीएल, इमेज इत्यादि जैसे सभी बुनियादी संचालनों की अनुमति दें और उपयोगकर्ता को चुनने के लिए संशोधित करें और हटाएं जैसे विशिष्ट विनाशकारी क्रियाएं दें।

आपके संदर्भ के लिए यहाँ http://docs.aws.amazon.com/AWSEC2/latest/APIReference/API_Operations.html

के लिए EC2 कार्यों की सूची तो आपके पास 2 विकल्प

1. नीचे की तरह एक नीति बना सकते हैं और दोनों उपयोगकर्ताओं को एक ही नीति देते

   { 
       "Version": "2012-10-17", 
       "Statement": [{ 
       "Effect": "Allow", 
       "Action": "ec2:*Describe*", 
       "Resource":"*", 
       }, 
       { 
       "Effect": "Allow", 
       "Action": [ 
        "ec2:*Modify*", 
        "ec2:*Delete*" 
       ], 
       "Principal": { "AWS": "arn:aws:iam::AWS-account-ID:user/**user-name-1**" }, 
       "Resource": "arn:aws:ec2:us-east-1:AWS-account-ID:instance/**InstanceIdOne**" 
   }, 
   { 
       "Effect": "Allow", 
       "Action": [ 
        "ec2:*Modify*", 
        "ec2:*Delete*" 
   ], 
       "Principal": { "AWS": "arn:aws:iam::AWS-account-ID:user/**user-name-2**" }, 
       "Resource": "arn:aws:ec2:us-east-1:AWS-account-ID:instance/**InstanceIdTwo**" 
   } 
   ]} 
   

2. 2 अलग-अलग नीतियां बनाएं। नीचे

   { 
       "Version": "2012-10-17", 
       "Statement": [{ 
       "Effect": "Allow", 
       "Action": "ec2:*Describe*", 
       "Resource":"*", 
       }, 
       { 
       "Effect": "Allow", 
       "Action": [ 
        "ec2:*Modify*", 
        "ec2:*Delete*" 
       ], 
       "Principal": { "AWS": "arn:aws:iam::AWS-account-ID:user/**user-name-1**" }, 
       "Resource": "arn:aws:ec2:us-east-1:AWS-account-ID:instance/**InstanceIdOne**" 
   } 
   ]} 
   

एक के लिए उदाहरण