AWS ユーザー追加権限について

Question

AWSでAdminアカウントを持ってまして、さらにEC2にていくつかのインスタンス作ってありますが、新規でユーザーを追加し、そのユーザーに既にあるインスタンスを見れないようにしたいですがどうしたらできますか？

Answer 1

新規で作成したユーザーに関連付けるポリシーに、以下のアクションをDenyする記述を含めれば実現可能かと思います。

ただご注意いただきたいのが、「DescribeInstances」は細かく対象を制限できません。
「全部見れる」か「全部見れない」になるイメージを持つと分かりやすいかと思います。

唯一「リージョン単位」でのみ、制限可能です。

http://docs.aws.amazon.com/ja_jp/AWSEC2/latest/APIReference/ec2-api-permissions.html#ec2-api-unsupported-resource-permissions

All Amazon EC2 actions can be used in an IAM policy to either grant or deny users permission to use that action. However, not all Amazon EC2 actions support resource-level permissions, which enable you to specify the resources on which an action can be performed. The following Amazon EC2 API actions currently do not support resource-level permissions; therefore, to use these actions in an IAM policy, you must grant users permission to use all resources for the action by using a * wildcard for the Resource element in your statement. All Amazon EC2 actions support the ec2:Region condition key; however, you may not be able to use other Amazon EC2 condition keys for these actions.

###補足
表現が足りていない気がしてきたので追記します。

新規ユーザーにEC2インスタンス見せたくない場合、以下の例のような権限制御が可能です。

• EC2インスタンス全部見れない
• TokyoリージョンのEC2インスタンス全部見れない
• シンガポールリージョンのEC2インスタンスだけ全部見れる

そして、以下のような権限制御はできません。

「既存のEC2インスタンスはTokyoリージョンにある」
「新ユーザーにもTokyoリージョンで新しくインスタンス作成させ、管理させたい」
「新ユーザーに既存のEC2インスタンスは見せたくない」

できない理由は、Nameタグ、Systemタグ、インスタンスIDなど、
リソースを指定しての制限に「DescribeInstances」が対応していないためです。

Comments

[hyskyo]

ありがとうございます。
ご指摘の下記をしたかったので、できないことはわかりました。

>「既存のEC2インスタンスはTokyoリージョンにある」
>「新ユーザーにもTokyoリージョンで新しくインスタンス作成させ、管理させたい」
>「新ユーザーに既存のEC2インスタンスは見せたくない」