Utilice una directiva de RAM para otorgar a un usuario permisos completos de gestión sobre una única instancia de ECS y, al mismo tiempo, limitar el acceso de solo lectura al resto de las instancias.
Escenario
Desea delegar la administración de una instancia específica de ECS (i-001) a un usuario de RAM. Para gestionar la instancia de manera eficaz desde la consola, el usuario debe poder listar y consultar todas las instancias con el fin de localizar la que tiene asignada. Sin embargo, solo debe tener permiso para ejecutar acciones (como iniciar, detener o reiniciar) en la instancia especificada.
Ejemplo de directiva
A continuación se presenta una directiva que logra este objetivo mediante dos declaraciones independientes.
{
"Version": "1",
"Statement": [
{
"Effect": "Allow",
"Action": "ecs:*",
"Resource": "acs:ecs:*:*:instance/i-001"
},
{
"Effect": "Allow",
"Action": "ecs:Describe*",
"Resource": "*"
}
]
}Funcionamiento de esta directiva
La directiva utiliza dos declaraciones que funcionan en conjunto:
Declaración 1: Permite la gestión completa de la instancia específica
La combinación de "Action": "ecs:*" con "Resource": "acs:ecs:*:*:instance/i-001" otorga permiso para realizar todas las acciones de ECS (como ecs:StartInstance y ecs:StopInstance) exclusivamente en la instancia con el ID i-001.
Declaración 2: Permite el acceso de solo lectura a todas las instancias
La combinación de "Action": "ecs:Describe*" con "Resource": "*" otorga permiso para todas las acciones de solo lectura que comienzan con "Describe" (como ecs:DescribeInstances y ecs:DescribeInstanceAttribute).
Sin esta declaración, el usuario de RAM no puede consultar ninguna instancia en la consola, lo que imposibilita localizar y gestionar la instancia asignada.