Делегировать роль пользователю в той же учетной записи AWS, что и моя - PullRequest
Новая
       23

Делегировать роль пользователю в той же учетной записи AWS, что и моя

0 голосов
/ 08 июля 2019

В настоящее время я изучаю AWS и наткнулся на этот сценарий, в котором я хочу предоставить доступ к услуге пользователю в той же учетной записи AWS, что и у меня, с использованием ролей.

Итак, вот деталь сценария, о котором я думаю,

В настоящее время я являюсь администратором IAM пользователя 'A'. Есть еще один пользователь IAM «B», у которого нет доступа к сервису EC2 (фактически он не имеет доступа ни к чему в AWS!).

Я хочу, чтобы этот пользователь B временно имел доступ только для чтения к экземплярам EC2. Поэтому я создаю роль и прикрепляю к ней политику AmazonEC2ReadOnlyAccess.

Теперь я хочу, чтобы «Б» переключился на эту роль при входе в систему, чтобы он мог просматривать экземпляры Ec2.

Мне известно, что это также можно сделать, создав группу и назначив политику этой группе, а затем добавив этого пользователя 'B' в эту группу. Но я хочу сделать это, используя роли.

Я не уверен, возможно ли это даже в AWS (или еще хуже, если сам этот сценарий действителен?), Потому что в документации говорится только о переключении ролей между учетными записями.

Может ли кто-нибудь помочь мне понять это и дать мне знать, если это вообще возможно, и что мне нужно сделать?

1 Ответ

0 голосов
/ 08 июля 2019

Я не уверен, почему вы сделали бы это так, а не либо:

  1. Применение роли к группе и добавление пользователя в группу
  2. Применение политики непосредственно к пользователю.

Я думаю, что вы МОЖЕТЕ сделать то, что вы пытаетесь достичь, но только путем предоставления пользователю разрешения вступать в роль через политику, а это значит, что вам в любом случае придется предоставить пользователю разрешения через политику или группу (я Я также не уверен, работает ли это для ролей в одной учетной записи) - в этом сценарии имеет больше смысла применять политику непосредственно к пользователю, а не переключать роли.

Если вы действительно хотите пойти дальше и использовать для этого смену ролей, вы можете изменить здесь руководство, чтобы позволить вам сделать это:

https://docs.aws.amazon.com/IAM/latest/UserGuide/tutorial_cross-account-with-roles.html

...