Политики IAM, связанные с созданием VPC по умолчанию

Question

Я читал VPC по умолчанию и подсети по умолчанию - Amazon Virtual Private Cloud о создании VPC по умолчанию с помощью AWS. При использовании компонентов VPC по умолчанию в нем говорится: «Amazon создает вышеуказанные компоненты VPC от имени клиентов. Политики IAM не применяются к этим действиям, поскольку клиенты не выполняют эти действия».

У меня такой вопрос, нам нужносоздать роль IAM для службы AWS для вызова другой службы AWS, например, EC2, вызывающей S3, но почему политика IAM не работает, когда AWS создает ресурсы от нашего имени?

Заранее благодарим за любой вклад.

Answer 1

В вашем примере подключения Amazon EC2 к Amazon S3 на самом деле код вашей программы выполняется на экземпляре Amazon EC2, который выполняет вызовы Amazon S3. Вызовы API для S3 должны быть аутентифицированы и авторизованы с помощью учетных данных IAM.

Существуют также ситуации, когда служба AWS вызывает другую службу AWS от вашего имени , используяроль, связанная с услугами, например, когда Amazon EC2 Auto Scaling запускает новые экземпляры Amazon EC2. Это требует предоставления связанной с сервисом роли для Amazon EC2 Auto Scale , которая дает одному сервису разрешение на вызов другого сервиса.

В случае создание Default VPC это то, что AWS делает до , когда клиент получает учетную запись. Таким образом, клиенты могут запускать ресурсы (например, экземпляр Amazon EC2) без необходимости сначала создавать VPC. Это часть стандартной настройки учетной записи.

Похоже, что AWS также предоставила команду CreateDefaultVpc() для воссоздания VPC по умолчанию. В документации говорится, что разрешения на выполнение этого вызова API достаточно для создания ресурсов, не требуя разрешения для каждого базового вызова, который он, вероятно, генерирует. Я предполагаю, что он использует разрешения, которые обычно связаны с ролью, связанной с сервисом, за исключением того, что для действий VPC нет никакой роли, связанной с сервисом. Если вас беспокоят люди, создающие эти ресурсы (например, интернет-шлюз), вы можете запретить пользователям возможность звонить CreateDefaultVpc(), что не позволит им использовать команду.

Answer 2

Думайте о нашей учетной записи AWS как о «корневой», а у AWS по сути есть «супер-корневая» учетная запись, с которой они могут инициировать первоначальное создание вашей учетной записи. Все это происходит, когда ваша учетная запись изначально настроена и настроена, поскольку у них есть этот уровень доступа «супер-root», как часть того, что вы являетесь владельцем продукта.

Мы ограничены (и я предполагаю, что AWS ограничен по-другому) IAM, чтобы позволить нам использовать Принцип наименьших привилегий