IAMを使用して、ユーザーがAWS / EC2セキュリティグループを編集できるようにしますか？

IAMグループにEC2セキュリティグループを編集する権限を付与しようとしていますが、EC2のすべてへのアクセスを許可しない限り、これを機能させることはできません。

私はこれのいくつかのバージョンを試しました：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Stmt1392336685000",
      "Effect": "Allow",
      "Action": [
        "ec2:*"
      ],
      "Resource": [
        "arn:aws:ec2:us-east-1:<MYACCOUNTHERE>:security-group/*"
      ]
    }
  ]
}

しかし、IAMユーザーでログインすると、セキュリティグループページに「この操作を実行する権限がありません」というメッセージが表示されます。

「Amazon EC2フルアクセス」にIAMポリシーテンプレートを選択すると、ユーザーはEC2のすべてにアクセスできるため、ユーザー/グループが機能していることを知っています。

私は明らかにIAMの経験があまりないので、どんな助けも大歓迎です。

これが機能するには、以下を明示的に許可する必要があります。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Stmt1392679134000",
      "Effect": "Allow",
      "Action": [
        "ec2:AuthorizeSecurityGroupEgress",
        "ec2:AuthorizeSecurityGroupIngress",
        "ec2:CreateSecurityGroup",
        "ec2:DeleteSecurityGroup",
        "ec2:DescribeInstanceAttribute",
        "ec2:DescribeInstanceStatus",
        "ec2:DescribeInstances",
        "ec2:DescribeNetworkAcls",
        "ec2:DescribeSecurityGroups",
        "ec2:RevokeSecurityGroupEgress",
        "ec2:RevokeSecurityGroupIngress"
      ],
      "Resource": [
        "*"
      ]
    }
  ]
}

上記のJSONポリシーは、基本的に、ユーザーは上記にのみアクセスできることを規定しています。彼らは他のものにはアクセスできません。これには、ec2インスタンス、S3、IAM、クラウドフロントなどが含まれます。

編集を1つのセキュリティグループに制限したい場合、2つのステートメントが必要だと思います。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Stmt1413232782000",
            "Effect": "Allow",
            "Action": [               
                "ec2:DescribeInstanceAttribute",
                "ec2:DescribeInstanceStatus",
                "ec2:DescribeInstances",
                "ec2:DescribeNetworkAcls",
                "ec2:DescribeSecurityGroups"              
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Sid": "Stmt1413232782001",
            "Effect": "Allow",
            "Action": [
                "ec2:AuthorizeSecurityGroupEgress",
                "ec2:AuthorizeSecurityGroupIngress",                
                "ec2:RevokeSecurityGroupEgress",
                "ec2:RevokeSecurityGroupIngress"
            ],
            "Resource": [
                "arn:aws:ec2:us-east-1:<accountid>:security-group/sg-<id>"
            ]
        }
    ]
}

DescribeInstanceは必要ないかもしれませんが、私の場合はそれが欲しかったので、それなしではテストしていません

セキュリティグループがインスタンスまたは他のEC2リソースによって使用されているようです。試すことができます：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Stmt1392336685000",
      "Effect": "Allow",
      "Action": [
        "ec2:*"
      ],
      "Resource": [
        "arn:aws:ec2:us-east-1:<MYACCOUNTHERE>:instance/*",
        "arn:aws:ec2:us-east-1:<MYACCOUNTHERE>:security-group/*"
      ]
    }
  ]
}

私はのための答えを探していた質問こと@ nsij22が受け入れ答えのコメントで尋ねました。残念ながら、それは不可能です。IAM Policy Simulatorによると、特定のリソースで使用できるのは@ DevMan14の回答の次のアクションのみです。

• DeleteSecurityGroup
• AuthorizeSecurityGroupEgress
• AuthorizeSecurityGroupIngress
• RevokeSecurityGroupEgress
• RevokeSecurityGroupIngress

他のすべてについて、IAM Policy Simulatorは次のように述べています。

このアクションは、リソースレベルのアクセス許可をサポートしていません。アクセスを許可するポリシーでは、リソース要素に「*」を指定する必要があります。

次のようになります。

。

「許可」と「拒否」はすべて同じであるため、私はそれらを折りたたみました。