Wie kann der Tag-basierte Zugriff auf die IAM-Benutzergruppe in AWS gewährt werden?

Question

Diese Frage ist für AWS und ich bin auf der Suche nach einer Cutom-Richtlinie erstellt werden. Ich habe eine Gruppe namens IOT-grp und es gibt einige Instanzen, die als IOT (Key ist Environment und Value ist IOT) markiert sind. Ich möchte zwei Anforderungen erfüllen.

1- Ich möchte eine Richtlinie erstellt haben, die es jedem Benutzer, der Teil der IOT-Gruppe ist, ermöglichen sollte, nur Instanzen zu starten/stoppen/neu zu starten, die als IOT markiert sind.

2- Darüber hinaus sollte jeder Benutzer in der IOT-Gruppe in der Lage sein, (nur IOT-Instanzen) zu beenden und neue Instanzen zu erstellen (nur für IOT). Für IOT-, Prod- und QA-Instanzen gibt es verschiedene Sicherheitsgruppen.

Grüße

Answer 1

Starten von über Beschränken Benutzer Lesen markiert Instanzen auf Demystifying EC2 Resource-Level Permissions zu. Es gibt das Beispiel:

{ 
    "Version": "2012-10-17", 
    "Statement": [ 
     { 
      "Sid": "TheseActionsSupportResourceLevelPermissionsWithInstancesAndTags", 
      "Effect": "Allow", 
      "Action": [ 
       "ec2:TerminateInstances", 
       "ec2:StopInstances", 
       "ec2:StartInstances"], 
      "Resource": "arn:aws:ec2:us-east-1:accountid:instance/*", 
      "Condition": { 
       "StringEquals": {"ec2:ResourceTag/Environment": "Prod"} 
      } 
     } 
    ] 
}