Amazon Web Services - 如何使用 IAM 限制单个用户管理单个 EC2 实例？

Question

我想要：

1. 创建 IAM 用户
2. 限制该用户只能对单个 EC2 实例进行完全管理。

示例：虽然 AWS EC2 账户有 10 个实例，但新用户 UserA 可以启动或停止 InstanceA，但不能对账户执行任何其他操作（不启动实例，不处理卷等）。

是否有一种简单的方法可以让单个用户完全访问这样的单个资源，但不能访问其他任何资源？

Answer 1

实际上，EC2 实例确实有一个 ARN。EC2 中的每个资源都有一个 ARN。实例 ARN 的示例如下：

arn:aws:ec2:region:account:instance/instance-id

您可以授予特定用户访问特定实例 ID 的权限。您可以包含允许用户运行的操作。

有关资源和操作以及条件，请参阅http://docs.aws.amazon.com/AWSEC2/latest/UserGuide/iam-policies-for-amazon-ec2.html#ec2-supported-iam-actions-resources。

Answer 2

EC2 实例没有“Amazon 资源名称”(ARN)，因此您无法编写 IAM 策略来允许用户访问单个实例。

如果我可以建议另一种方法。处理此类请求的最简单方法可能是授予用户对实例的 SSH 访问权限，并允许他们执行您希望他们能够执行的命令，例如重启。

已编辑：忘了提及在线有一个很好的 AWS Policy Generator 工具，它非常有帮助。http://awspolicygen.s3.amazonaws.com/policygen.html

编辑：这现在是可能的。http://blogs.aws.amazon.com/security/post/Tx29HCT3ABL7LP3/Resource-level-Permissions-for-EC2-Controlling-Management-Access-on-Specific-Ins