Amazon EC2: Beschränkt das Beenden von EC2-Instances auf einen IP-Adressbereich

Dieses Beispiel zeigt, wie Sie eine identitätsbasierte Richtlinie erstellen können, die EC2-Instances einschränkt, indem sie die Aktion zulässt, aber den Zugriff ausdrücklich verweigert, wenn die Anforderung von außerhalb des angegebenen IP-Bereichs kommt. Die Richtlinie ist nützlich, wenn die IP-Adressen für Ihre Firma innerhalb der angegebenen Bereiche liegen. Diese Richtlinie gewährt die erforderlichen Berechtigungen, um diese Aktion programmgesteuert über die AWS API oder abzuschließen. AWS CLI Um diese Richtlinie zu verwenden, ersetzen Sie den kursiv gedruckten Platzhaltertext in der Beispielrichtlinie durch Ihre eigenen Informationen. Befolgen Sie dann die Anweisungen unter Erstellen einer Richtlinie oder Bearbeiten einer Richtlinie.

Wenn diese Richtlinie in Kombination mit anderen Richtlinien verwendet wird, die die ec2:TerminateInstances Aktion zulassen (z. B. der von AmazonEC2 FullAccess AWS verwalteten Richtlinie), wird der Zugriff verweigert. Der Grund hierfür liegt darin, dass eine explizite Zugriffsverweigerung Vorrang vor einer Zugriffserlaubnis hat. Weitere Informationen finden Sie unter Ermitteln, ob eine Anforderung innerhalb eines Kontos zugelassen oder verweigert wird.

Wichtig

Der aws:SourceIp Bedingungsschlüssel verweigert den Zugriff auf einen AWS Dienst, der beispielsweise in AWS CloudFormation Ihrem Namen Anrufe tätigt. Weitere Informationen zum Verwenden des aws:SourceIp-Bedingungsschlüssels finden Sie unter AWS Kontextschlüssel für globale Bedingungen.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": ["ec2:TerminateInstances"],
            "Resource": ["*"]
        },
        {
            "Effect": "Deny",
            "Action": ["ec2:TerminateInstances"],
            "Condition": {
                "NotIpAddress": {
                    "aws:SourceIp": [
                        "192.0.2.0/24",
                        "203.0.113.0/24"
                    ]
                }
            },
            "Resource": ["*"]
        }
    ]
}