Как ограничить доступ к конкретному документу ssm, можно запустить только в конкретном экземпляре ec2? - PullRequest
Новая
       43

Как ограничить доступ к конкретному документу ssm, можно запустить только в конкретном экземпляре ec2?

0 голосов
/ 11 июня 2018

У меня есть требование создания политики, которая будет иметь доступ к пользовательскому созданному документу ssm, который может работать только в указанном экземпляре EC2.

Я попробовал политику, подобную этой, но этого недостаточно для управления документом, который будет запущен на экземпляре. 

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ec2messages:DeleteMessage",
                "ec2messages:GetEndpoint",
                "ec2messages:FailMessage",
                "ec2messages:AcknowledgeMessage",
                "ec2messages:SendReply",
                "ec2messages:GetMessages"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:UpdateInstanceInformation",
                "ssm:UpdateAssociationStatus",
                "ssm:ListInstanceAssociations",
                "ssm:ListAssociations",
                "ssm:UpdateInstanceAssociationStatus"
            ],
            "Resource": [
                "arn:aws:ssm:us-east-1:xxxxxxxxxx:document/xxxxxxxxxx",
                "arn:aws:ec2:us-east-1:xxxxxxxxxx:instance/*"
            ]
        }
    ]
}

Это выполнимо?

Помощь очень ценится.Спасибо

...