具有資源標簽條件的 AWS Instance Connect

Question

我試圖通過在我的實例連接策略中使用資源標簽條件來限制 ssh 對 ec2 實例的訪問。 所以基本上我有這樣的東西：

{
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": "ec2-instance-connect:SendSSHPublicKey",
        "Resource": "arn:aws:ec2:*:*:instance/*",,
        "Condition": {
            "StringEquals": {"ec2:ResourceTag/Squad": "blah"}
        }
      },
      {
        "Effect": "Allow",
        "Action": "ec2:DescribeInstances",
        "Resource": "*"
      }
    ]
}

但是，這似乎不起作用。 實例連接不能使用ec2:ResourceTag條件嗎？ 我已經看到它在ec2:osuser這樣的條件下工作，所以我想知道是否存在限制或者我做錯了什么。

Answer 1

我認為 IAM 策略無法限制 ssh 訪問。 我不確定，但我還沒有聽說任何限制 SSH 的 IAM 政策。我認為它必須設置到您的 EC2 實例中。