Utilisez une politique RAM pour accorder à un utilisateur des permissions de gestion complètes sur une seule instance ECS, tout en limitant l'accès à toutes les autres instances à la lecture seule.
Scénario
Vous souhaitez déléguer l'administration d'une instance ECS spécifique (i-001) à un utilisateur RAM. Pour gérer efficacement l'instance via la console, l'utilisateur doit pouvoir répertorier et consulter toutes les instances afin de trouver celle qui lui est attribuée. Toutefois, il ne doit avoir l'autorisation d'exécuter des actions (telles que le démarrage, l'arrêt ou le redémarrage) que sur l'instance spécifiée.
Exemple de politique
La politique suivante atteint cet objectif en utilisant deux instructions distinctes.
{
"Version": "1",
"Statement": [
{
"Effect": "Allow",
"Action": "ecs:*",
"Resource": "acs:ecs:*:*:instance/i-001"
},
{
"Effect": "Allow",
"Action": "ecs:Describe*",
"Resource": "*"
}
]
}Fonctionnement de cette politique
Cette politique s'appuie sur deux instructions complémentaires :
Instruction 1 : Autorise la gestion complète de l'instance spécifique
L'association de "Action": "ecs:*" et de "Resource": "acs:ecs:*:*:instance/i-001" accorde l'autorisation d'exécuter toutes les actions ECS (comme ecs:StartInstance et ecs:StopInstance) uniquement sur l'instance dont l'ID est i-001.
Instruction 2 : Autorise l'accès en lecture seule à toutes les instances
L'association de "Action": "ecs:Describe*" et de "Resource": "*" accorde l'autorisation pour toutes les actions en lecture seule commençant par « Describe » (telles que ecs:DescribeInstances et ecs:DescribeInstanceAttribute).
Sans cette instruction, l'utilisateur RAM ne peut voir aucune instance dans la console, ce qui rend impossible la localisation et la gestion de l'instance attribuée.