Sử dụng IAM để cho phép người dùng chỉnh sửa các nhóm bảo mật AWS / EC2?

Tôi đang cố gắng cấp cho nhóm IAM khả năng chỉnh sửa Nhóm bảo mật EC2 của chúng tôi, nhưng tôi đã không thể làm việc này mà không cấp quyền truy cập vào mọi thứ trong EC2.

Tôi đã thử một vài phiên bản này:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Stmt1392336685000",
      "Effect": "Allow",
      "Action": [
        "ec2:*"
      ],
      "Resource": [
        "arn:aws:ec2:us-east-1:<MYACCOUNTHERE>:security-group/*"
      ]
    }
  ]
}

Nhưng khi tôi đăng nhập với người dùng IAM, tôi nhận được một tin nhắn trong trang Nhóm bảo mật với nội dung "Bạn không được phép thực hiện thao tác này".

Tôi biết rằng người dùng / nhóm đang hoạt động vì nếu tôi chọn Mẫu chính sách IAM cho "Truy cập đầy đủ Amazon EC2", người dùng có thể truy cập mọi thứ trong EC2.

Tôi rõ ràng không có nhiều kinh nghiệm với IAM, bất kỳ trợ giúp nào cũng sẽ được đánh giá cao.

Để làm việc này, bạn cần phải cho phép rõ ràng những điều sau đây:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Stmt1392679134000",
      "Effect": "Allow",
      "Action": [
        "ec2:AuthorizeSecurityGroupEgress",
        "ec2:AuthorizeSecurityGroupIngress",
        "ec2:CreateSecurityGroup",
        "ec2:DeleteSecurityGroup",
        "ec2:DescribeInstanceAttribute",
        "ec2:DescribeInstanceStatus",
        "ec2:DescribeInstances",
        "ec2:DescribeNetworkAcls",
        "ec2:DescribeSecurityGroups",
        "ec2:RevokeSecurityGroupEgress",
        "ec2:RevokeSecurityGroupIngress"
      ],
      "Resource": [
        "*"
      ]
    }
  ]
}

Chính sách JSON ở trên về cơ bản quy định rằng CHỈ người dùng có quyền truy cập vào bên trên. Họ sẽ KHÔNG có quyền truy cập vào bất cứ điều gì khác. Điều đó bao gồm các trường hợp ec2, S3, IAM, cloudfront, v.v.

Nếu bạn muốn giới hạn chỉnh sửa trong một nhóm bảo mật duy nhất, tôi nghĩ rằng bạn cần 2 câu lệnh, những điều sau đây có hiệu quả với tôi:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Stmt1413232782000",
            "Effect": "Allow",
            "Action": [               
                "ec2:DescribeInstanceAttribute",
                "ec2:DescribeInstanceStatus",
                "ec2:DescribeInstances",
                "ec2:DescribeNetworkAcls",
                "ec2:DescribeSecurityGroups"              
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Sid": "Stmt1413232782001",
            "Effect": "Allow",
            "Action": [
                "ec2:AuthorizeSecurityGroupEgress",
                "ec2:AuthorizeSecurityGroupIngress",                
                "ec2:RevokeSecurityGroupEgress",
                "ec2:RevokeSecurityGroupIngress"
            ],
            "Resource": [
                "arn:aws:ec2:us-east-1:<accountid>:security-group/sg-<id>"
            ]
        }
    ]
}

DescribeInstance có thể không cần thiết nhưng trong trường hợp của tôi, tôi muốn nó, vì vậy đã không được thử nghiệm mà không có nó

Có vẻ như nhóm bảo mật của bạn có thể đang được sử dụng bởi một thể hiện hoặc một số tài nguyên EC2 khác. Bạn có thể thử:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Stmt1392336685000",
      "Effect": "Allow",
      "Action": [
        "ec2:*"
      ],
      "Resource": [
        "arn:aws:ec2:us-east-1:<MYACCOUNTHERE>:instance/*",
        "arn:aws:ec2:us-east-1:<MYACCOUNTHERE>:security-group/*"
      ]
    }
  ]
}

Tôi đang tìm kiếm một câu trả lời cho một câu hỏi mà @ nsij22 đã hỏi trong các bình luận của câu trả lời được chấp nhận. Thật không may, có vẻ như điều đó là không thể. Theo Trình mô phỏng chính sách của IAM , chỉ các hành động sau từ câu trả lời của @ DevMan14 có thể được sử dụng với các tài nguyên cụ thể:

• DeleteSecuritygroup
• AuthorizeSecuritygroupETHER
• AuthorizeSecuritygroupIngress
• RevokeSecuritygroupETHER
• RevokeSecuritygroupIngress

Đối với mọi thứ khác, IAM Policy Simulator nói:

Hành động này không hỗ trợ quyền cấp tài nguyên. Chính sách cấp quyền truy cập phải chỉ định "*" trong thành phần tài nguyên.

Nó trông như thế này:

.

Tất cả "được phép" và "bị từ chối" đều giống nhau, vì vậy tôi đã thu gọn chúng.