問題タブ [amazon-iam]

サービスへのアクセスを制限する IAM ポリシーを設定できることは知っています。ただし、サービスの一部へのアクセスを許可するポリシーを設定することは可能ですか。

たとえば、私は 2 つの EC2 インスタンスです。AWS コンソールにアクセスできるように 2 人のユーザーを作成する必要がありますが、それぞれ 1 つの EC2 インスタンスにしかアクセスできません。

シナリオ:
Amazon でアプリを作成し、「access_token」を返すLogin with Amazonを使用します。次に実行します：

後でListTable関数を実行すると、次のように返されます。

に電話しなければならないようAssumeRoleWithWebIdentityです。しかし、 AWS SDK for JavaScriptでどのように呼び出すことができますか? または、私が見逃した他のプロセスはありますか？

stackoverflow でこれに関する多くの質問を見つけましたが、問題を解決したものはありません。多くのグーグル検索の後、まだ AccessDenied Exception に直面しています:

ユーザーとグループのポリシー ドキュメントは次のとおりです。

ユーザー ポリシー:

グループ ポリシー:

ユーザー名 - testuser でユーザーを作成し、この IAM ユーザーの access_key と secret_access_key を取得しました。これで、AWS Web コンソールと Cyber​​duck を使用して mybucket とそのサブフォルダーにアクセスできるようになりました。

しかし、 boto を使用してアクセスしようとすると、AccessDenied Exception (エラー 403) が発生します。

ボトコード:

boto-rsyncを使用しようとしたときにも同じ問題に直面しました。

助言がありますか ？？

AWS のドキュメントを読みましたが、役に立ちませんでした...少なくとも私にとっては。EC2 の IAM とユーザー ポリシーについて読みました。

ユーザーが 1 つの ec2 インスタンスでのみフル アクセス/(または一部のアクションのみを許可) できるようにしたいと考えています。

私が使用している地域はeu-west-1(Ireland)です。私はこの方針を立てました：

ユーザーとしてログインすると、承認されていないことがわかります。

• 実行中のインスタンスを説明する権限がありません
• Elastic IP を説明する権限がありません
• ボリュームを記述する権限がありません
• スナップショットを説明する権限がありません
• キー ペアを記述する権限がありません
• ロード バランサを説明する権限がありません
• プレースメント グループを説明する権限がありません
• セキュリティ グループを説明する権限がありません

リソース属性に次のポリシーを適用すると:

"リソース": "arn:aws:ec2:*"

それは問題ありませんが、ユーザーはすべての EC2 インスタンスにアクセスできるため、必要なものではありません。

これが AWS のバグなのか、eu-west-1 リージョンに問題があるのか​​、それともこのポリシーがまだサポートされていないのかを知りたいですか? それとも私が間違っているのかもしれません。もしそうなら、どうすればよいか教えてください

起動時にインスタンスを構成するアプリをセットアップしようとしていますが、そのアプリの API アクセスを可能な限り閉じたいと考えています。私の現在のポリシーは次のとおりです。

ただし、これにより、アプリは EC2 内のあらゆるものに対してこれらのアクションを実行できます。ec2 インスタンスでのアプリのアクションを、その特定のインスタンス、または同じ IAM ロールを持つすべてのボックスにロックダウンする方法はありますか?

AWS Identity and Access Management (IAM)は、ユーザーが以前に追加したAmazon DynamoDBテーブルのアイテムのみを編集または削除できるようにする方法を提供しますか?

サインアップしてお金を払って動画を視聴できる Web サイトを作成しています。このサイトは PHP で構築され、次のように動作することを想定しています。

• コンテンツ作成者がコンテンツをアップロードします (動画ファイルは S3 バケットにアップロードされます)
• ユーザーはサインアップして、アップロードされたビデオを視聴するために支払うことができます

したがって、ユーザーがお金を払ってビデオを視聴したり、HTML を検査したり、ビデオの URL を他の誰かと共有したりして、お金を払わずに視聴できるように、ユーザーごとにオブジェクトを保護する方法が必要です。

IAMの利用を考え、自分のWebサイトに登録ユーザーとして動画を購入する権限として、購入した動画（オブジェクト）へのアクセス権を付与したIAMユーザーを作成したのですが、AWSの紹介動画を見ると、 IAMユーザーは人にアクセス権を付与するための方が向いているようですAWS コンソールにログインして AWS サービスを管理できるようにするためであり、ウェブサービスのユーザーにオブジェクトへの権限を付与する方法としてではありません。

IAM ユーザーは、コンソールを介してサービスにアクセスするユーザー向けであると考えるのが正しい場合、アプリケーションのユーザーに特定の権限を付与するためのオプションは何ですか?

S3 にホームという名前のバケットがあり、その下に複数のフォルダがあります。特定のユーザーが、パス home/A/B/folder1 の下の folder1 にアクセスできるようにしたいと考えています。ただし、このホーム バケット内の他のバケットや他のフォルダを彼に見せたくありません。

誰でもこのポリシーを手伝ってくれますか?