実行中のEC2インスタンスに新しいパーミッションを割り当てる方法

Question

EC2でいくつかのテストを行っていますが、すでに実行中のインスタンスに対してパーミッションを制限し、他のインスタンスのみを記述したいとします（たとえば、新しいもの、その要求は拒否されるべきです）。

{ 
    "Version": "2012-10-17", 
    "Statement": [ 
     { 
      "Effect": "Deny", 
      "Action": [ 
       "ec2:DescribeInstances", 
       "ec2:DescribeImages", 
       "ec2:DescribeKeyPairs", 
       "ec2:DescribeSecurityGroups", 
       "ec2:DescribeAvailabilityZones", 
       "ec2:RunInstances", 
       "ec2:TerminateInstances", 
       "ec2:StopInstances", 
       "ec2:StartInstances" 
      ], 
      "Resource": "*" 
     } 
    ] 
} 

これは理論的には私がすでに実行中のインスタンスにログオンしています新しいインスタンスを作成するから私を防ぐ必要がありますが、そうでない（私はbotoライブラリを使用しています：

は、私は、次の方針にIAMロールを作成しテストの場合は ec2.run_instances()）。

ご協力いただければ幸いです。

Answer 1

IAMインスタンスロールにアタッチされたポリシーは、インスタンスロールの資格情報を使用して行われた要求にのみ影響します。インスタンス上で実行されているコードからの要求であっても、他の資格情報（アクセスキーIDやIAMユーザーのシークレットなど）を使用した要求には影響しません。

予期せぬ特権がある場合は、別の資格情報セットがインスタンスに格納されており、開発者がそれを認識しないコードを使用している可能性があります。

EC2で実行されているコードで役割資格情報のみを使用し、インスタンスに他の資格情報を格納しないことをお勧めします。