2

我希望所有用户都能够使用 AWS SSM（系统管理器）“startsession”命令连接到 EC2 实例，但限制他们可以通过 EC2 实例上的标签连接到哪些实例。属于“webserver-dev”组的 IAM 用户将拥有一个策略，允许他们aws ssm start-session --target i-12341234使用标签名称为“SSMTag”且值为“WebServer”的任何 EC2 实例。devserver-dev 组中的任何用户都可以使用 SSMTag = 'DevServer' 等连接到实例。

我有一个允许访问连接到任何EC2 实例的策略，但是一旦我在策略 JSON 中添加“条件”子句，访问总是被拒绝（或总是被允许）。

我已经尝试为策略添加具有各种不同语法的条件，aws:TagKeys、ssm:ResourceTag、ec2:ResourceTag 和其他一些，但似乎没有一个允许我做我想做的事。文档 似乎表明我可以做到这一点，但要么我不了解标记的工作原理，要么误解了文档。

我目前对开发服务器的政策如下所示：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": "ssm:StartSession",
            "Resource": "arn:aws:ec2:*:*:instance/*",
            "Condition": {
                "StringEquals": {
                    "ssm:ResourceTag/SSMTag": "DevServer"
                }
            }
        },
        {
            "Sid": "VisualEditor1",
            "Effect": "Allow",
            "Action": "ssm:TerminateSession",
            "Resource": "arn:aws:ssm:*:*:session/${aws:username}-*"
        }
    ]
}

我还尝试了以下条件线的变化：

            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/SSMTag": "DevServer"
                }
            }

和

            "Condition": {
                "ForAllValues:StringEquals": {
                    "ec2:ResourceTag:SSMTag": "DevServer"
                }
            }

我想要的是，如果用户不属于 webserver-dev 组，则他们无法运行aws ssm start-session并连接到任何 ec2 实例，除非它们被标记为标签 SSMTag 且值为 WebServer。

结果是属于策略附加到的组的一部分的用户要么被拒绝访问，要么被允许连接到任何实例，而不管附加到它的标签。

我已经阅读了很多类似问题的解决方案，基本上是“某些功能不支持资源级别标记，但文档似乎明确表示支持。

4

1 回答 1

4

我收到了来自 AWS 支持的电子邮件，看起来这是条件的“StringEquals”部分的问题。此策略正常工作：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": "ssm:StartSession",
            "Resource": "arn:aws:ec2:*:*:instance/*",
            "Condition": {
                "ForAnyValue:StringEqualsIfExists": {
                    "ssm:resourceTag/SSMTag": "DevServer"
                }
            }
        },
        {
            "Sid": "VisualEditor1",
            "Effect": "Allow",
            "Action": "ssm:TerminateSession",
            "Resource": "arn:aws:ssm:*:*:session/${aws:username}-*"
        }
    ]
}

语法差异是"ForAnyValue:StringEqualsIfExists": {

希望这对将来的某人有所帮助。

于 2019-04-04T16:54:20.817 回答