Ejemplos de políticas basadas en la identidad de Amazon EC2 Auto Scaling - Amazon EC2 Auto Scaling
Control del tamaño de los grupos de escalado automático que se pueden crearControlar qué claves de etiqueta y valores de etiqueta se pueden utilizarControl de los grupos de escalado automático que se pueden eliminarControlar qué políticas de escalado se pueden eliminarControl del acceso a las acciones de actualización de instanciasCreación de un rol vinculado al servicioControle qué función vinculada al servicio puede transferirse (mediante) PassRole

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Ejemplos de políticas basadas en la identidad de Amazon EC2 Auto Scaling

De forma predeterminada, un usuario nuevo no Cuenta de AWS tiene permisos para hacer nada. Un IAM administrador debe crear y asignar IAM políticas que otorguen permiso a una IAM identidad (como un usuario o un rol) para realizar API acciones de Amazon EC2 Auto Scaling.

Para obtener información sobre cómo crear una IAM política con estos documentos de JSON política de ejemplo, consulte Creación de políticas en la JSON pestaña de la Guía del IAM usuario.

A continuación se muestra un ejemplo de una política de permisos.

{
   "Version": "2012-10-17",
   "Statement": [{
      "Effect": "Allow",
      "Action": [
          "autoscaling:CreateAutoScalingGroup",
          "autoscaling:UpdateAutoScalingGroup",
          "autoscaling:DeleteAutoScalingGroup"
      ],
      "Resource": "*",
      "Condition": {
          "StringEquals": { "autoscaling:ResourceTag/purpose": "testing" }
      }
   },
   {
      "Effect": "Allow",
      "Action": "autoscaling:Describe*",
      "Resource": "*"
   }]
}

Esta política de ejemplo proporciona a los usuarios permisos para crear, modificar y eliminar grupos de escalado automático, pero solo si el grupo utiliza la etiqueta purpose=testing. Como las acciones Describe no admiten permisos de nivel de recursos, debe especificarlas en una instrucción aparte sin condiciones. Para lanzar instancias con una plantilla de lanzamiento, el usuario también debe tener el permiso ec2:RunInstances. Para obtener más información, consulte Controle el uso de plantillas de EC2 lanzamiento de Amazon en los grupos de Auto Scaling.

nota

Puede crear sus propias IAM políticas personalizadas para permitir o denegar permisos a IAM las identidades (usuarios o roles) para realizar acciones de Amazon EC2 Auto Scaling. Puede adjuntar estas políticas personalizadas a las IAM identidades que requieren los permisos especificados. A continuación se muestran algunos ejemplos de permisos para algunos casos de uso comunes.

Algunas API acciones de Amazon EC2 Auto Scaling le permiten incluir grupos específicos de Auto Scaling en su política que la acción puede crear o modificar. Puede restringir los recursos de destino para estas acciones especificando un grupo de Auto Scaling individualARNs. Sin embargo, como práctica recomendada, se sugiere utilizar políticas basadas en etiquetas que permitan o denieguen acciones en grupos de Auto Scaling con una etiqueta específica.

Control del tamaño de los grupos de escalado automático que se pueden crear

La siguiente política concede a los usuarios permisos para crear y actualizar todos los grupos de escalado automático con la etiqueta environment=development, siempre y cuando no especifiquen un tamaño mínimo inferior a 1 ni un tamaño máximo superior a 10. Siempre que sea posible, utilice etiquetas que lo ayuden a controlar el acceso a los grupos de escalado automático de su cuenta.

{
   "Version": "2012-10-17",
   "Statement": [{
      "Effect": "Allow",
      "Action": [
          "autoscaling:CreateAutoScalingGroup",
          "autoscaling:UpdateAutoScalingGroup"
      ],
      "Resource": "*",
      "Condition": {
          "StringEquals": { "autoscaling:ResourceTag/environment": "development" }, 
          "NumericGreaterThanEqualsIfExists": { "autoscaling:MinSize": 1 },
          "NumericLessThanEqualsIfExists": { "autoscaling:MaxSize": 10 }
      }
   }]
}

Como alternativa, si no utiliza etiquetas para controlar el acceso a los grupos de Auto Scaling, puede utilizarlas ARNs para identificar los grupos de Auto Scaling a los que se aplica la IAM política.

Un grupo de Auto Scaling tiene lo siguienteARN.

"Resource": "arn:aws:autoscaling:region:account-id:autoScalingGroup:*:autoScalingGroupName/my-asg"

También puede especificar varios ARNs encerrándolos en una lista. Para obtener más información sobre cómo especificar los recursos ARNs de Amazon EC2 Auto Scaling en el Resource elemento, consulteRecursos de políticas para Amazon EC2 Auto Scaling.

Controlar qué claves de etiqueta y valores de etiqueta se pueden utilizar

También puede usar condiciones en sus IAM políticas para controlar las claves y los valores de las etiquetas que se pueden aplicar a los grupos de Auto Scaling. A fin de conceder a los usuarios permisos para crear o etiquetar un grupo de escalado automático únicamente si proporcionan etiquetas específicas, utilice la clave de condición aws:RequestTag. Para permitir únicamente claves de etiqueta específicas, utilice la clave de condición aws:TagKeys con el modificador ForAllValues.

La siguiente política requiere que los solicitantes especifiquen una etiqueta con la clave environment en la solicitud. El valor "?*" exige que haya algún valor para la clave de etiqueta. Para utilizar un valor comodín, debe utilizar el operador de condición StringLike. 

{
   "Version": "2012-10-17",
   "Statement": [{
      "Effect": "Allow",
      "Action": [
          "autoscaling:CreateAutoScalingGroup",
          "autoscaling:CreateOrUpdateTags"
      ],
      "Resource": "*",
      "Condition": {
          "StringLike": { "aws:RequestTag/environment": "?*" }
      }
   }]
}

La política siguiente especifica que los solicitantes solo pueden etiquetar grupos de escalado automático con las etiquetas purpose=webserver y cost-center=cc123, y permite solo las etiquetas purpose y cost-center (no se pueden especificar otras etiquetas).

{
   "Version": "2012-10-17",
   "Statement": [{
      "Effect": "Allow",
      "Action": [
          "autoscaling:CreateAutoScalingGroup",
          "autoscaling:CreateOrUpdateTags"
      ],
      "Resource": "*",
      "Condition": {
          "StringEquals": { 
              "aws:RequestTag/purpose": "webserver",
              "aws:RequestTag/cost-center": "cc123"
          },
          "ForAllValues:StringEquals": { "aws:TagKeys": ["purpose", "cost-center"] }
      }
   }]
}

La siguiente política requiere que los solicitantes especifiquen al menos una etiqueta en la solicitud y permite únicamente las claves cost-center y owner.

{
   "Version": "2012-10-17",
   "Statement": [{
      "Effect": "Allow",
      "Action": [
          "autoscaling:CreateAutoScalingGroup",
          "autoscaling:CreateOrUpdateTags"
      ],
      "Resource": "*",
      "Condition": {
          "ForAnyValue:StringEquals": { "aws:TagKeys": ["cost-center", "owner"] }
      }
   }]
}
nota

En cuanto a las condiciones, la clave de condición no distingue entre mayúsculas y minúsculas, mientras que el valor de condición sí. Por lo tanto, para aplicar la distinción entre mayúsculas y minúsculas de una clave de etiqueta, utilice la clave de condición aws:TagKeys, donde la clave de etiqueta se especifica como valor en la condición.

Control de los grupos de escalado automático que se pueden eliminar

La siguiente política permite eliminar un grupo de escalado automático solo si el grupo tiene la etiqueta environment=development.

{
   "Version": "2012-10-17",
   "Statement": [{
      "Effect": "Allow",
      "Action": "autoscaling:DeleteAutoScalingGroup",
      "Resource": "*",
      "Condition": {
          "StringEquals": { "aws:ResourceTag/environment": "development" }
      }
   }]
}

Como alternativa, si no utiliza claves de condición para controlar el acceso a los grupos de Auto Scaling, puede especificar los recursos ARNs del Resource elemento para controlar el acceso.

La siguiente política otorga a los usuarios permisos para usar la DeleteAutoScalingGroup API acción, pero solo para los grupos de Auto Scaling cuyo nombre comience pordevteam-.

{
   "Version": "2012-10-17",
   "Statement": [{
      "Effect": "Allow",
      "Action": "autoscaling:DeleteAutoScalingGroup",
      "Resource": "arn:aws:autoscaling:region:account-id:autoScalingGroup:*:autoScalingGroupName/devteam-*"
   }]
}

También puede especificar varios ARNs incluyéndolos en una lista. Incluir UUID garantiza que el acceso se otorgue al grupo específico de Auto Scaling. El UUID de un grupo nuevo es diferente al UUID de un grupo eliminado con el mismo nombre.

"Resource": [
    "arn:aws:autoscaling:region:account-id:autoScalingGroup:uuid:autoScalingGroupName/devteam-1",
    "arn:aws:autoscaling:region:account-id:autoScalingGroup:uuid:autoScalingGroupName/devteam-2",
    "arn:aws:autoscaling:region:account-id:autoScalingGroup:uuid:autoScalingGroupName/devteam-3"
]

Controlar qué políticas de escalado se pueden eliminar

La siguiente política permite la acción DeletePolicy para eliminar una política de escalado. Sin embargo, también deniega la acción si el grupo de escalado automático sobre el que se actúa tiene la etiqueta environment=production. Siempre que sea posible, utilice etiquetas que lo ayuden a controlar el acceso a los grupos de escalado automático de su cuenta.

{
   "Version": "2012-10-17",
   "Statement": [{
      "Effect": "Allow",
      "Action": "autoscaling:DeletePolicy",
      "Resource": "*"
   },
   {
      "Effect": "Deny",
      "Action": "autoscaling:DeletePolicy",
      "Resource": "*",
      "Condition": {
          "StringEquals": { "autoscaling:ResourceTag/environment": "production" }
      }
   }]
}

Control del acceso a las acciones de actualización de instancias

La política siguiente concede permisos para iniciar, revertir y cancelar una actualización de instancias solo si el grupo de escalado automático sobre el que se actúa tiene la etiqueta environment=testing. Como las acciones Describe no admiten permisos de nivel de recursos, debe especificarlas en una instrucción aparte sin condiciones. 

{
   "Version": "2012-10-17",
   "Statement": [{
      "Effect": "Allow",
      "Action": [
          "autoscaling:StartInstanceRefresh",
          "autoscaling:CancelInstanceRefresh",
          "autoscaling:RollbackInstanceRefresh"
      ],
      "Resource": "*",
      "Condition": {
          "StringEquals": { "autoscaling:ResourceTag/environment": "testing" }
      }
   },
   {
      "Effect": "Allow",
      "Action": "autoscaling:DescribeInstanceRefreshes",
      "Resource": "*"
   }]
}

Para especificar la configuración deseada en la llamada StartInstanceRefresh, es posible que los usuarios necesiten algunos permisos relacionados, tales como:

Creación de un rol vinculado al servicio

Amazon EC2 Auto Scaling requiere permisos para crear un rol vinculado a un servicio la primera vez que un usuario suyo invoque acciones de Cuenta de AWS Amazon EC2 Auto ScalingAPI. Si el rol vinculado al servicio aún no existe, Amazon EC2 Auto Scaling lo crea en su cuenta. La función vinculada al servicio otorga permisos a Amazon EC2 Auto Scaling para que pueda llamar a otras personas Servicios de AWS en su nombre.

Para que la creación automática de roles se realice correctamente, los usuarios deben disponer de permisos para la acción iam:CreateServiceLinkedRole.

"Action": "iam:CreateServiceLinkedRole"

A continuación se muestra un ejemplo de una política de permisos que permite a un usuario crear un rol vinculado al servicio Amazon EC2 Auto Scaling para Amazon EC2 Auto Scaling.

{
   "Version": "2012-10-17",
   "Statement": [{
      "Effect": "Allow",
      "Action": "iam:CreateServiceLinkedRole",
      "Resource": "arn:aws:iam::*:role/aws-service-role/autoscaling.amazonaws.com/AWSServiceRoleForAutoScaling",
      "Condition": {
          "StringLike": { "iam:AWSServiceName":"autoscaling.amazonaws.com" }
      }
   }]
}

Controle qué función vinculada al servicio puede transferirse (mediante) PassRole

Los usuarios que creen o actualicen grupos de escalado automático y especifiquen un rol de sufijo personalizado vinculado al servicio en la solicitud necesitan el permiso iam:PassRole.

Puedes usar el iam:PassRole permiso para proteger la seguridad de las claves administradas por tus AWS KMS clientes si permites que diferentes roles vinculados al servicio accedan a diferentes claves. En función de las necesidades de su organización, es posible que tenga una clave para el equipo de desarrollo, otra para el equipo de control de calidad y otra para el equipo de finanzas. En primer lugar, cree un rol vinculado al servicio que tenga acceso a la clave requerida, por ejemplo, un rol vinculado al servicio denominado _devteamkeyaccess. AWSServiceRoleForAutoScaling A continuación, asocie la política a una IAM identidad, como un usuario o un rol.

La siguiente política concede permisos a los usuarios para pasar el rol AWSServiceRoleForAutoScaling_devteamkeyaccess a cualquier grupo de escalado automático cuyo nombre comience con devteam-. Si la IAM identidad que crea el grupo de Auto Scaling intenta especificar un rol vinculado a un servicio diferente, recibirá un error. Si eligen no especificar un rol vinculado a un servicio, se usa el AWSServiceRoleForAutoScalingrol predeterminado en su lugar.

{
   "Version": "2012-10-17",
   "Statement": [{
      "Effect": "Allow",
      "Action": "iam:PassRole",
      "Resource": "arn:aws:iam::account-id:role/aws-service-role/autoscaling.amazonaws.com/AWSServiceRoleForAutoScaling_devteamkeyaccess",
      "Condition": {
          "StringEquals": { "iam:PassedToService": [ "autoscaling.amazonaws.com" ] },
          "StringLike": { "iam:AssociatedResourceARN": [ "arn:aws:autoscaling:region:account-id:autoScalingGroup:*:autoScalingGroupName/devteam-*" ] }
      }
   }]
}

Para obtener más información acerca de los roles vinculados a servicios con un sufijo personalizado, consulte Funciones vinculadas a servicios para Amazon Auto Scaling EC2.