Ограничить доступ API-интерфейса AWS к конкретному IP-адресу

Question

Привет, есть ли возможность ограничить доступ к aws api, где многие люди имеют доступ администратора к aws. Я хочу, чтобы люди с правами администратора / обычного доступа имели доступ только для чтения из любой точки мира, но когда они хотят что-то изменить, им следует войти в систему на определенном компьютере, и теперь они могут изменить свои учетные данные aws.

Answer 1

Ваша политика, которая предоставляет доступ к вызовам API, будет Allow двумя наборами разрешений:

• Один набор, который предоставляет доступ только для чтения
• Другой, который предоставляет Доступ администратора, с условием, которое ограничивается IP-адресом

Чтобы предоставлять разрешения только при доступе из определенного диапазона IP-адресов, используйте что-то вроде этого:

{
  "Version": "2012-10-17",
  "Statement": {
    "Effect": "Allow",
    "Action": "<whatever actions you are granting>",
    "Resource": "<whatever resources you are permitting>",
    "Condition": {"IpAddress": {"aws:SourceIp": ["192.0.2.0/24"]}}
  }
}