Użyć IAM, aby zezwolić użytkownikowi na edycję grup zabezpieczeń AWS / EC2?

Usiłuję przyznać grupie IAM możliwość edytowania naszych grup zabezpieczeń EC2, ale nie byłem w stanie uzyskać tej pracy bez udzielenia dostępu do wszystkiego w EC2.

Wypróbowałem kilka wersji tego:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Stmt1392336685000",
      "Effect": "Allow",
      "Action": [
        "ec2:*"
      ],
      "Resource": [
        "arn:aws:ec2:us-east-1:<MYACCOUNTHERE>:security-group/*"
      ]
    }
  ]
}

Ale kiedy loguję się z użytkownikiem IAM, na stronie Security Group pojawia się komunikat „Nie masz uprawnień do wykonania tej operacji”.

Wiem, że użytkownik / grupa działa, ponieważ jeśli wybiorę szablon zasad IAM dla „Amazon EC2 Full Access”, użytkownik może uzyskać dostęp do wszystkiego w EC2.

Oczywiście nie mam dużego doświadczenia z IAM, każda pomoc byłaby bardzo mile widziana.

Aby to zadziałało, musisz wyraźnie POZWOLIĆ na następujące czynności:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Stmt1392679134000",
      "Effect": "Allow",
      "Action": [
        "ec2:AuthorizeSecurityGroupEgress",
        "ec2:AuthorizeSecurityGroupIngress",
        "ec2:CreateSecurityGroup",
        "ec2:DeleteSecurityGroup",
        "ec2:DescribeInstanceAttribute",
        "ec2:DescribeInstanceStatus",
        "ec2:DescribeInstances",
        "ec2:DescribeNetworkAcls",
        "ec2:DescribeSecurityGroups",
        "ec2:RevokeSecurityGroupEgress",
        "ec2:RevokeSecurityGroupIngress"
      ],
      "Resource": [
        "*"
      ]
    }
  ]
}

Powyższe zasady JSON w zasadzie stanowią, że użytkownik TYLKO ma dostęp do powyższych. NIE będą mieli dostępu do niczego innego. Obejmuje to wystąpienia ec2, S3, IAM, chmurę itp.

Jeśli chcesz ograniczyć edycję do pojedynczej grupy zabezpieczeń, myślę, że potrzebujesz 2 instrukcji, dla mnie zadziałały:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Stmt1413232782000",
            "Effect": "Allow",
            "Action": [               
                "ec2:DescribeInstanceAttribute",
                "ec2:DescribeInstanceStatus",
                "ec2:DescribeInstances",
                "ec2:DescribeNetworkAcls",
                "ec2:DescribeSecurityGroups"              
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Sid": "Stmt1413232782001",
            "Effect": "Allow",
            "Action": [
                "ec2:AuthorizeSecurityGroupEgress",
                "ec2:AuthorizeSecurityGroupIngress",                
                "ec2:RevokeSecurityGroupEgress",
                "ec2:RevokeSecurityGroupIngress"
            ],
            "Resource": [
                "arn:aws:ec2:us-east-1:<accountid>:security-group/sg-<id>"
            ]
        }
    ]
}

DescribeInstance może nie być potrzebny, ale w moim przypadku chciałem go, więc nie testowałem bez niego

Wygląda na to, że Twoja grupa zabezpieczeń jest używana przez instancję lub inny zasób EC2. Możesz spróbować:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Stmt1392336685000",
      "Effect": "Allow",
      "Action": [
        "ec2:*"
      ],
      "Resource": [
        "arn:aws:ec2:us-east-1:<MYACCOUNTHERE>:instance/*",
        "arn:aws:ec2:us-east-1:<MYACCOUNTHERE>:security-group/*"
      ]
    }
  ]
}

Szukałem odpowiedzi na pytanie, które @ nsij22 zadał w komentarzach przyjętej odpowiedzi. Niestety wygląda na to, że nie jest to możliwe. Według IAM Policy Simulator tylko określone działania z odpowiedzi @ DevMan14 mogą być używane z określonymi zasobami:

• DeleteSecurityGroup
• AuthorizeSecurityGroupEgress
• AuthorizeSecurityGroupIngress
• RevokeSecurityGroupEgress
• RevokeSecurityGroupIngress

W pozostałym zakresie IAM Policy Simulator mówi:

Ta akcja nie obsługuje uprawnień na poziomie zasobów. Zasady przyznające dostęp muszą określać „*” w elemencie zasobu.

To wygląda tak:

.

Wszystkie „dozwolone” i „odrzucone” są takie same, więc je zwinąłem.