Amazon EC2 API訪問控制

Question

我們正在嘗試在我們的EC2雲中進行一些開發，這需要使用某些API調用（創建/刪除卷，啟動/停止實例等）。 在閱讀了亞馬遜的文檔之后，我發現雖然我可以使用不同的AWS賬戶共享實例級訪問權限，但我在IAM中創建的用戶沒有細粒度的訪問控制權。 如果我給他們一個Destroy權利，它適用於全球。

我的問題是，其他人如何處理這個問題？ 我不贊成在我們的生產環境中為正在開發的任何軟件提供全局銷毀權，並且因為這些是合同開發人員而加倍。 與此同時，我也擔心即使是全球擁有這些權利的制作計划，因為它似乎是不好的做法和固有的不安全的代碼。

有沒有人找到的解決方法？

Answer 1

只是為了澄清。 您試圖控制用戶可以開始停止哪些實例以及用戶可以使用IAM配置文件創建和刪除哪些卷？

如果這實際上是你問的那么答案很簡單。 您不能為實例或卷制定任何規則，所有EC2命令都是全局的。 根據您希望的帳戶數量，您可以為每個客戶創建一個新帳戶，並使用Consolidated billing鏈接所有帳戶。

如果您想控制哪些用戶可以訪問哪些實例/卷，則需要開發某種代理服務，而不是亞馬遜服務。 雖然這並不一定能保證它更安全。