如何為特定的AWS VPC創建管理員

Question

我尋求通過在AWS環境中創建相關角色來更好地管理自己。 我有兩個環境由不同的vpc決定。 一種用於開發人員，另一種用於產品。 是否有人熟悉此主題的一些最佳做法？ 對於更具體的問題。 我在尋找一種為特定vpc創建管理員的方法。 我的vpc之一是為位於不同國家/地區的團隊提供的，我是否想為此vpc創建管理員。

Answer 1

您不能為VPC創建“管理員”。 您可以為IAM用戶/組設置一個策略，使其只能與該VPC進行交互，但這必須在為可能使用的各種API設置權限時完成。
有關示例，請參閱： http : //docs.aws.amazon.com/AmazonVPC/latest/UserGuide/VPC_IAM.html#subnet-ami-example-iam
您對以下內容感興趣：

"StringEquals": {
  "ec2:Vpc": "arn:aws:ec2:region:account:vpc/vpc-1a2b3c4d"
}

您可以遍歷所有EC2和VPC Apis，並確定要允許和不允許的內容，並設置適當的策略。 請記住，可能您可能需要訪問其他資源（如果使用其他AWS服務），並且每次都必須正確更新/優化權限。

解決該問題的另一種方法是設置另一個AWS賬戶。 您可以設置合並帳單，以便您同時為兩個帳戶付款，並且可以確保另一個帳戶與產品絕對隔離。