AWS kullanıcılarını / hesaplarını belirli bir bölgeyle sınırlamak mümkün mü?

AB-Batı-1 bölgesinde bir dizi AWS hizmeti veriyoruz. Ne yazık ki, geçici kaynaklar yaratması gereken birçok geliştiricimiz ve diğer çalışanımız, AWS'nin bu yönünü unutuyor ve EC2 örneklerini başlatmadan, S3 kovaları oluşturmadan önce bu bölgeyi seçmiyor gibi görünüyor. us-east-1 bölgesi bu yana AWS'nin her zaman kullandığı varsayılan gibi görünüyor.

IAM'de (veya başka bir şekilde) kullanıcı hesaplarını yalnızca belirli bir bölgedeki işleri başlatmak / oluşturmakla sınırlamak için herhangi bir yol var mı?

Maalesef bunu global olarak yapamazsınız. Ancak, her AWS ürün için destekleri bunu, genellikle bu olabilir belirli bir bölgeye erişimi sınırlamak.

Örneğin, EC2 için aşağıdakileri yapabilirsiniz:

{
  "Statement":[{
    "Effect":"allow",
    "Action":"RunInstances",
    "Resource":"*",
    "Condition":{
      "StringEquals":{
        "ec2:Region":"us-west-1"
        }
      }
    }
  ]
}

Elbette, denyuygun olduğu yerde bir kural yayınlamanız gerekir .

İşte yukarıdaki için belgeler.

Böyle bir şey kullanın. Bu örnek iki AWS bölgesine erişimi kısıtlar. Gerektiği gibi değiştirin.

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Deny",
    "Action": "*",
    "Resource": "*",
    "Condition": {
      "StringNotEquals": {
        "aws:RequestedRegion": [
          "eu-central-1",
          "eu-west-1"
        ]
      }
    }
  }]
}

25 Nisan 2018’den bu yana, AWS’de global bir kaynak aws vardır: Bir kullanıcının istek gönderebileceği bölgeleri sınırlamak için kullanabileceğiniz RequestedRegion. Bu hizmetin bölgesel olup olmamasından bağımsız olduğundan, tüm servislere uygulayabilirsiniz.

AWS Güvenlik Blogu

Maalesef bunu bir kuruluşun Hizmet Kontrol Politikası'nda genel olarak bir hesaba uygulamak için kullanamazsınız ve politikayı her bir yöneticiye eklemeniz ve bir hesabı belirli bölgelere kilitlemek istiyorsanız bunun böyle olduğunu denetlemeniz gerekir.

Bu konuda kabul edilen cevap verdi Syntax Error on Policy. Aşağıda benim için çalıştı:

{
"Statement": [
    {
        "Sid": "Stmt1375943389569",
        "Action": "ec2:*",
        "Effect": "Allow",
        "Resource": "*",
        "Condition": {
            "StringEquals": {
                "ec2:Region": "eu-central-1"
            }
        }
    }
]

}

Yalnızca EC2 eylemleri için sorarsanız, evet, diğer yanıtlarda belirtildiği gibi sınırlayabilirsiniz. Diğer hizmetler ise, bunu yapabileceğinizden emin değilim ... örn. AWS Lambda lambda:regionbir duruma ekleyebileceğiniz görünmüyor .

Gönderen AWS IAM için SSS :

S: Kullanıcılar bölgesel olarak tanımlanabilir mi? Başlangıçta değil. Kullanıcılar günümüzde bir AWS Hesabı gibi küresel varlıklardır. Kullanıcı izinlerini tanımlarken bölge belirtilmesine gerek yoktur. Kullanıcılar AWS servislerini herhangi bir coğrafi bölgede kullanabilirler.

Bir kullanıcının yalnızca bir bölgeye tam EC2 erişimi vermesini sağlamak için daha iyi çalıştığını (başlatma / durdurma / sonlandırma / vb.) Daha iyi buldum.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": "*",
            "Effect": "Allow",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "ec2:Region": "us-east-1"
                }
            }
        }
    ]
}

Bu benim için çalışıyor, kabul edilen bir cevap olarak belirtilen json ile politika oluşturmaya çalıştım, ancak benim için çalışmıyor.

{
    "Version": "2012-10-17",
    "Statement": [{
        "Action": "ec2:*",
        "Effect": "Allow",
        "Resource": "*",
        "Condition": {
            "StringEquals": {
                "ec2:Region": [
                    "us-east-1"
                ]
            }
        }
    }]
}

Şu anki çözüm - "eu-west-1" kullanarak:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect"    : "Allow",
            "Action"    : "*",
            "Resource"  : "*",
            "Condition": 
            {
                "StringEquals": {
                    "aws:RequestedRegion": "eu-west-1"
                }
            }
        }
    ]
}