AWS IAM 政策 - 限制 VPC 租赁

Question

要求：限制 IAM 用户创建具有专用租期的 VPC。 IAM 用户应该只能创建具有 默认租期 的 VPC。

附加到 IAM 用户的 IAM 策略：

    {
        "Sid": "limitedTenancyVpc",
        "Effect": "Deny",
        "Action": "ec2:CreateVpc",
        "Resource": "arn:aws:ec2:*:*:vpc/*",
        "Condition": {
            "ForAnyValue:StringNotLike": {
                "ec2:Tenancy": [
                    "default"
                ]
            }
        }
    }

我知道对于 VPC InstanceTenancy 是要使用的关键字。我试过它的条件，但它不工作。附加了此策略的 IAM 用户能够创建具有 专用租赁 .

的 VPC

请推荐。

Answer 1

无法限制此操作，因为没有与 ec2:CreateVPC 操作关联的条件。查看可用列表 EC2 conditions keys。

但是，ec2:tenancy 条件适用于 ec2:runInstances。因此，您可以改为拒绝以专用租赁作为护栏启动实例的请求。

有 3 种不同的租赁类型：默认、专用和主机。如果租赁设置为主机或专用，则拒绝请求。

{
    "Sid": "limitedTenancyVpc",
    "Effect": "Deny",
    "Action": "ec2:RunInstances",
    "Resource": "*",
    "Condition": {
        "ForAnyValue:StringEquals": {
            "ec2:Tenancy": [
                "host", 
                "dedicated"
            ]
        }
    }
}

AWS IAM 政策 - 限制 VPC 租赁

AWS IAM Policy - Restrict VPC Tenancy

amazon-web-services

amazon-vpc