Limita le autorizzazioni con i profili di istanza Amazon EC2 IAM

Un profilo di istanza IAM è un contenitore per un ruolo IAM che puoi utilizzare per passare informazioni sul ruolo a un' EC2 istanza Amazon all'avvio dell'istanza.

Attualmente esiste un profilo di istanza predefinito di AWS Managed Services (AMS) che concede le autorizzazioni alle applicazioni in esecuzione sull'istanza, non agli utenti che accedono all'istanza. customer-mc-ec2-instance-profile Potresti voler modificare il profilo predefinito dell'istanza o crearne uno nuovo, se desideri consentire a un'istanza di accedere a qualcosa, senza concedere l'accesso anche ad altre istanze. Puoi richiedere un nuovo profilo di istanza IAM con Management | Applications | IAM instance profile | Create change type (ct-0ixp4ch2tiu04). Quando invii la RFC, puoi creare il tuo profilo di istanza e includerlo come InstanceProfileDescription, oppure puoi semplicemente informare AMS (utilizzando lo stesso campo) delle modifiche che desideri. Poiché si tratta di un CT manuale, AMS deve approvare la modifica e si metterà in contatto con l'utente in merito.

Se non conosci le politiche di Amazon IAM, consulta Panoramica delle politiche IAM per informazioni importanti. C'è anche un buon post sul blog, Demystifying EC2 Amazon Resource-Level Permissions. Tieni presente che attualmente AMS non supporta il controllo degli accessi basato sulle risorse, ma supporta i controlli a livello di risorsa utilizzando le policy dei ruoli IAM (per una spiegazione della differenza, consulta Servizi che funzionano con IAM).AWS

Landing Zone AMS per account singolo:

Per visualizzare una tabella delle autorizzazioni concesse dal profilo di istanza AMS IAM predefinito, vai a EC2 IAM Instance Profile.