Amazon EC2 : limite la suspension des instances EC2 à une plage d'adresses IP

Cet exemple montre comment vous pouvez créer une politique basée sur l'identité qui limite les instances EC2 en permettant l'action, mais en refusant explicitement l'accès lorsque la demande est externe à la plage d'adresses IP spécifiée. Cette politique est utile lorsque les adresses IP de votre entreprise se situent dans les plages d'adresses IP spécifiées. Cette politique accorde les autorisations nécessaires pour réaliser cette action de manière programmatique à partir de l'API AWS ou de l'AWS CLI. Pour utiliser cette politique, remplacez le texte de l'espace réservé en italique dans l'exemple de politique par vos propres informations de ressource. Ensuite, suivez les instructions fournies dans create a policy (créer une politique) ou edit a policy (modifier une politique).

Si cette politique est utilisée en association avec d'autres politiques qui permettent l'action ec2:TerminateInstances (comme la politique gérée AWS AmazonEC2FullAccess), l'accès est refusé. En effet, une instruction de refus explicite est prioritaire dans l'autorisation des instructions. Pour plus d’informations, veuillez consulter Identification d'une demande autorisée ou refusée dans un compte.

Important

La clé de condition aws:SourceIp refuse l'accès à un service AWS tel qu'AWS CloudFormation, qui effectue les appels en votre nom. Pour de plus amples informations sur l'utilisation de la clé de condition aws:SourceIp, veuillez consulter AWS clés contextuelles de condition globale.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": ["ec2:TerminateInstances"],
            "Resource": ["*"]
        },
        {
            "Effect": "Deny",
            "Action": ["ec2:TerminateInstances"],
            "Condition": {
                "NotIpAddress": {
                    "aws:SourceIp": [
                        "192.0.2.0/24",
                        "203.0.113.0/24"
                    ]
                }
            },
            "Resource": ["*"]
        }
    ]
}