Amazon EBS 快照鎖所需的許可 - Amazon EBS

本文為英文版的機器翻譯版本,如內容有任何歧義或不一致之處,概以英文版為準。

Amazon EBS 快照鎖所需的許可

依預設,使用者沒有使用快照鎖定的許可。若要允許使用者使用快照鎖定,必須建立 IAM 政策以授予使用特定資源和 API 動作的許可。如需詳細資訊,請參閱《IAM 使用者指南》中的建立 IAM 政策

所需的許可

若要使用快照鎖定,使用者需有下列許可。

  • ec2:LockSnapshot:鎖定快照。

  • ec2:UnlockSnapshot:解鎖快照。

  • ec2:DescribeLockedSnapshots:檢視快照鎖定設定。

以下 IAM 政策範例向使用者授予鎖定和解鎖快照,以及檢視快照鎖定設定的許可。其包括主控台使用者的 ec2:DescribeSnapshots 許可權限。若無需某些許可,則您可從政策中將其移除。

{ "Version": "2012-10-17", "Statement": [{ "Effect": "Allow", "Action": [ "ec2:LockSnapshot", "ec2:UnlockSnapshot", "ec2:DescribeLockedSnapshots", "ec2:DescribeSnapshots" ] }] }

若要提供存取權,請新增權限至您的使用者、群組或角色:

  • 使用者和群組位於 AWS IAM Identity Center:

    建立權限合集。請按照 AWS IAM Identity Center 使用者指南 中的 建立權限合集 說明進行操作。

  • 透過身分提供者在 IAM 中管理的使用者:

    建立聯合身分的角色。請按照 IAM 使用者指南為第三方身分提供者 (聯合) 建立角色 中的指示進行操作。

  • IAM 使用者:

使用條件索引鍵限制存取權限

您可以使用條件索引鍵來限制允許使用者鎖定快照的方式。

ec2:SnapshotLockDuration

在鎖定快照時,您可以使用 ec2:SnapshotLockDuration 條件索引鍵限制使用者指定特定的鎖定期間。

下列範例政策限制使用者只能指定 1050 天的鎖定期間。

{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": "ec2:LockSnapshot", "Resource": "arn:aws:ec2:region::snapshot/*" "Condition": { "NumericGreaterThan" : { "ebs:SnapshotLockDuration" : 10 } "NumericLessThan":{ "ebs:SnapshotLockDuration": 50 } } } ] }

ec2:CoolOffPeriod

您可以使用 ec2:CoolOffPeriod 條件索引鍵來防止使用者以合規模式鎖定快照,而沒有冷靜期。

下列範例政策限制使用以合規模式鎖定快照時,須指定 48 小時以上的冷靜期。

{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": "ec2:LockSnapshot", "Resource": "arn:aws:ec2:region::snapshot/*" "Condition": { "NumericGreaterThan": { "ec2:CoolOffPeriod": 48 } } } ] }