运行Boto功能所需的最低IAM策略

Question

我正在尝试在python脚本中运行一些boto函数。 我需要创建具有最低权限的IAM策略，以执行这些Boto功能。 有什么好方法可以将这些boto函数与执行它们所需的AWS IAM权限相关联。

例如，这是我拥有的boto模块（python）。 用户需要什么IAM权限才能运行它们？ 有找到这个的好方法吗？

boto.ec2.autoscale.connect_to_region
boto.ec2.elb.connect_to_region
boto.ec2.connect_to_region
boto.ec2.instance.Instance
boto.ec2.elb.loadbalancer.LoadBalancer
boto.ec2.autoscale.group.AutoScalingGroup

Answer 1

您列出的功能与对AWS的API调用之间没有1：1的关联。

如果使用client功能，则需要该功能的特定权限，例如：

response = ec2_client.describe_instances()

此命令将需要ec2:DescribeInstances权限。

boto3还提供了resource功能，它们提供了更类似于对象的体验，例如：

instance = ec2_resource.Instance('id')

此类函数可以调用任意数量的基础API调用，因此要确定此类调用所需的权限并不容易。

您可以使用AWS CloudTrail查看进行的基础API调用，以便可以确定权限。