Скрыть экземпляры EC2 от других пользователей IAM - PullRequest
0 голосов
/ 26 октября 2018

У нас большое количество пользователей IAM (в сотнях в будущем может увеличиться более 1000).

Все пользователи IAM имеют доступ к созданию экземпляров EC2. Одновременно около 30-40 пользователей будут работать и создавать экземпляры EC2.

В Консоли управления AWS пользователь IAM также может видеть все экземпляры, созданные другими пользователями IAM.

Можно ли визуально заставить его видеть только те экземпляры EC2, которые он создал, и скрывать все остальные экземпляры, созданные другими пользователями IAM?

Я согласен, что пользователи IAM могут давать имена и теги для распознавания своих экземпляров. Однако я ищу, чтобы скрыть те ресурсы, которые он не создал.

Ответы [ 2 ]

0 голосов
/ 26 октября 2018

Если бы политики IAM позволили указать требуемый фильтр, это было бы возможно. Но вы не можете указать это, поэтому это невозможно.

То, что вы хотите, называется Организациями - вы можете назначить каждой группе свою учетную запись AWS, чтобы они могли видеть свои собственные счета и т. Д.

  • Зарезервированные экземпляры могут передаваться из основной учетной записи в дополнительную учетную запись
  • Поток счетов с субсчетов на основной счет
  • Все ваши пользователи могут оставаться в главной учетной записи, вы просто предоставляете им возможности AssumeRole для просмотра их учетной записи.
  • Вы можете применять политики управления службами, которые не позволяют суб-учетным записям выполнять какие-либо действия.

Вы можете подумать, что управление «проще» с одной учетной записью, но верно и обратное. Точно так же, как вы должны относиться к серверам как «Крупный рогатый скот, а не домашние животные» (т. Е. Они одноразовые), вы должны рассматривать учетные записи AWS как одноразовые. Некоторые организации предоставляют каждому разработчику свою учетную запись AWS, и только сервер сборки может изменять учетные записи Staging / Prod через TerraForm или CloudFormation.

0 голосов
/ 26 октября 2018

Для этого вы обычно используете разрешения на уровне ресурсов. Какие ресурсы / что вы можете контролировать, зависит от вызова API до вызова API в AWS. В частности, вам нужно разрешение на уровне ресурсов для вызова API DescribeInstances. К сожалению, в настоящее время AWS не поддерживает разрешения на уровне ресурсов для этого вызова API .

Добро пожаловать на сайт PullRequest, где вы можете задавать вопросы и получать ответы от других членов сообщества.
...