AWS IAM: ограничить доступ для CLI, но не для консоли управления

Question

При применении политики разрешений к пользователю IAM возможно ли ограничить доступ к клиенту, который он использует? В частности, Консоль управления AWS против CLI? (Возможно, используя условие ресурса?)

Я хочу разрешить пользователю выполнять действие, используя Консоль управления AWS, но не CLI.

Мое текущее решение - создать две учетные записи IAM для пользователя. Один с программным доступом, а другой с именем пользователя / паролем, но без учетной записи с обоими. Затем настройте политики разрешений для каждого. Любопытно, есть ли более элегантное решение?

Answer 1

Заметили ли вы, что AWS начал показывать инструкции API в маленьких выпадающих окнах, которые соответствуют выполняемому действию консоли управления?

Исходя из этого и того факта, что консоль управления является просто оболочкой для их внутренних вызовов API, я не думаю, что разрешение ресурса позволило бы пользователю устанавливать разрешения на основе того, где выполняется действие.

Я думаю, что дух IAM диктует, что эти две учетные записи должны иметь разные учетные данные, потому что, по сути, они имеют различный набор разрешений.