Resource Access Management:Allow managing a specific ECS instance

Cenário

Você precisa delegar a administração de uma instância específica do ECS (i-001) a um usuário do RAM. Para gerenciar essa instância de forma eficaz pelo console, o usuário deve conseguir listar e visualizar todas as instâncias para localizar aquela que lhe foi atribuída. No entanto, ele deve ter permissão para executar ações (como iniciar, parar ou reiniciar) apenas na instância especificada.

Exemplo de política

A política a seguir atende a esse requisito por meio de duas instruções distintas.

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ecs:*",
            "Resource": "acs:ecs:*:*:instance/i-001"
        },
        {
            "Effect": "Allow",
            "Action": "ecs:Describe*",
            "Resource": "*"
        }
    ]
}

Como esta política funciona

Esta política utiliza duas instruções que operam em conjunto:

Instrução 1: Permite o gerenciamento completo da instância específica

A combinação de "Action": "ecs:*" com "Resource": "acs:ecs:*:*:instance/i-001" concede permissão para executar todas as ações do ECS (como ecs:StartInstance e ecs:StopInstance) exclusivamente na instância com o ID i-001.

Instrução 2: Permite acesso somente leitura a todas as instâncias

O uso de "Action": "ecs:Describe*" juntamente com "Resource": "*" autoriza todas as ações de somente leitura que começam com "Describe" (como ecs:DescribeInstances e ecs:DescribeInstanceAttribute).