Встроенная политика AWS для ограничения выполнения документов автоматизации по IAM

Question

Встроенная политика AWS для ограничения выполнения документов автоматизации по IAM

Моя цель - встроенная политика AWS по ограничению выполнения документов автоматизации по IAM, но, понимая текущие ограничения, я вижу, что могу использовать только * подстановочный знак и не может указать конкретный документ.

Есть ли способ ограничить определенный IAM, чтобы иметь доступ только к определенным документам автоматизации.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "test",
            "Effect": "Allow",
            "Action": [
                "ssm:StartAutomationExecution"
            ],
            "Resource": "*"
        }
    ]
}

0

amazon-web-services aws-cli aws-systems-manager

Источник

Daniel Johns 26 май '19 в 12:55

1 ответ

Другие вопросы по тегам amazon-web-services aws-cli aws-systems-manager

Henrik Pingel 27 май '19 в 12:16 2019-05-27 12:16 · Answer 1 · 2019-05-27 12:16

Вы можете ограничить разрешения IAM, указав ARN документа в поле ресурса. ARN для AWS Systems Manager строится следующим образом:

arn:aws:ssm:region:account-id:document/document-name

Вы можете указать полный арн документа или поместить звездочку в арн, чтобы ограничить разрешение подмножеством документов. Как в документации:

arn:aws:ssm:us-west-2:111222333444:document:West*

Daniel Johns 30 июн '19 в 14:38 2019-06-30 14:38 · Answer 2 · 2019-06-30 14:38

@JohnRotenstein, @HenrikPingel, я нашел способ достичь того, с чем хотел: {a "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "ssm:*" ], "Resource": [ "arn:aws:ssm:eu-west-2:{accountnumberplaceholder}:automation-definition/{documentnameplaceholder}:$DEFAULT", "arn:aws:ssm:eu-west-2:{accountnumberplaceholder}:automation-definition/{documentnameplaceholder}:$DEFAULT", "arn:aws:ssm:eu-west-2:{accountnumberplaceholder}:automation-definition/{documentnameplaceholder}:$DEFAULT", "arn:aws:ssm:eu-west-2:{accountnumberplaceholder}:*", "arn:aws:ec2:eu-west-2:{accountnumberplaceholder}:instance/*", "arn:aws:ssm:eu-west-2::document/AWS-RunPowerShellScript" ] } ]