Berikan izin untuk melampirkan peran IAM ke instance

Identitas di Anda Akun AWS, seperti pengguna IAM, harus memiliki izin khusus untuk meluncurkan EC2 instans Amazon dengan peran IAM, melampirkan peran IAM ke instance, mengganti peran IAM untuk instance, atau melepaskan peran IAM dari sebuah instance. Anda harus memberikan izin untuk menggunakan tindakan API berikut seperti yang diperlukan:

• iam:PassRole

• ec2:AssociateIamInstanceProfile

• ec2:DisassociateIamInstanceProfile

• ec2:ReplaceIamInstanceProfileAssociation

catatan

Jika Anda menentukan sumber daya untuk iam:PassRole as*, ini akan memberikan akses untuk meneruskan peran IAM Anda ke sebuah instance. Untuk mengikuti praktik terbaik dengan hak istimewa terkecil, tentukan peran IAM tertentu denganiam:PassRole, seperti yang ditunjukkan dalam contoh kebijakan di bawah ini. ARNs

Contoh kebijakan untuk akses terprogram

Kebijakan IAM berikut memberikan izin untuk meluncurkan instance dengan peran IAM, melampirkan peran IAM ke instance, atau mengganti peran IAM untuk instance yang menggunakan atau Amazon API. AWS CLI EC2

JSON

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
         "ec2:RunInstances",
         "ec2:AssociateIamInstanceProfile",
         "ec2:DisassociateIamInstanceProfile",
         "ec2:ReplaceIamInstanceProfileAssociation"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": "iam:PassRole",
      "Resource": "arn:aws:iam::123456789012:role/DevTeam*"
    }
  ]
}

Persyaratan tambahan untuk akses konsol

Untuk memberikan izin untuk menyelesaikan tugas yang sama menggunakan EC2 konsol Amazon, Anda juga harus menyertakan tindakan iam:ListInstanceProfiles API.