Amazon EC2 API访问控制

Question

我们正在尝试在我们的EC2云中进行一些开发，这需要使用某些API调用（创建/删除卷，启动/停止实例等）。 在阅读了亚马逊的文档之后，我发现虽然我可以使用不同的AWS账户共享实例级访问权限，但我在IAM中创建的用户没有细粒度的访问控制权。 如果我给他们一个Destroy权利，它适用于全球。

我的问题是，其他人如何处理这个问题？ 我不赞成在我们的生产环境中为正在开发的任何软件提供全局销毁权，并且因为这些是合同开发人员而加倍。 与此同时，我也担心即使是全球拥有这些权利的制作计划，因为它似乎是不好的做法和固有的不安全的代码。

有没有人找到的解决方法？

Answer 1

只是为了澄清。 您试图控制用户可以开始停止哪些实例以及用户可以使用IAM配置文件创建和删除哪些卷？

如果这实际上是你问的那么答案很简单。 您不能为实例或卷制定任何规则，所有EC2命令都是全局的。 根据您希望的帐户数量，您可以为每个客户创建一个新帐户，并使用Consolidated billing链接所有帐户。

如果您想控制哪些用户可以访问哪些实例/卷，则需要开发某种代理服务，而不是亚马逊服务。 虽然这并不一定能保证它更安全。