Условия политики доверия роли IAM

Question

Может ли кто-нибудь объяснить, почему Роли были спроектированы AWS, чтобы иметь Принципала, подобного всей услуге (EC2, Lambda et c.), Т.е. без возможности ассоциировать / ограничивать, чтобы быть предполагаемым конкретным c EC2-экземпляром тип или специфицируемая c лямбда-функция - я пропускаю здесь ключевую AWS концепцию дизайна?

Если я хочу ограничить конкретную роль, которая может быть принята только экземплярами t2.micro EC2 (и никакими другими Тип семейства экземпляров EC2), это достижимо в AWS? Если это можно сделать, то в какую политику разрешений будет записано это ограничение?

Попытка добавления приведенного ниже раздела Условие к политике роли «Доверенная идентификация», но это не работает, т.е. пример других типов экземпляра t2.large также возможность выполнять действия, например, создать корзину (используя CLI).

"Condition": {
"StringEquals": {
"ec2:InstanceType": [
"t2.micro"
]} }

Answer 1

Нет, невозможно установить ограничения в Политике доверия.

Если вы хотите, чтобы определенные роли IAM использовались только в определенных случаях, вам необходимо применить это с помощью iam:PassRole , Это разрешение, которое определяет, есть ли у кого-то разрешение передавать определенную роль службе (например, экземпляру EC2). Проще говоря: вы можете ограничить круг лиц, которым разрешено выбирать роль IAM, а затем доверять тому, что они знают, когда его правильно использовать.