0

Quiero restringir el uso de AMIs en instancias ec2 a sólo unas AMIs concretas.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "RequireApprovedAMIType",
      "Effect": "Deny",
      "Action": [
        "ec2:RunInstances",
        "ec2:RunScheduledInstances",
        "ec2:StartInstances",
        "ec2:RebootInstances"
      ],
      "Resource": [
        "arn:aws:ec2:::instance/*"
      ],
      "Condition": {
        "StringNotEquals": {
          "ec2:ImageType": [
            "ami-0*",
            "ami-0*"
          ]
        }
      }
    }
  ]
}

Creo que el problema está en el ec2:imagetype pero no consigo encontrar otro que tenga sentido.

1 respuesta 1

0

Para restringir el uso de AMIs, el recurso debe tener una forma tal que:

arn:aws:ec2:*::image-ami-*

Si conoces el ARN de las AMIs basta con indicarlas:

"Resource": [
    "arn:aws:ec2:REGION::image/ami-00001",
    "arn:aws:ec2:REGION::image/ami-00002",
    ...
]

La condición la podrías usar para, por ejemplo, restringir el uso de AMIs por etiquetas (si fuese tu caso):

"Condition": {
     "StringEquals": {
        "ec2:ResourceTag/NOMBRE_TAG": "VALOR_TAG"
     }
  }
1
  • Pongo las condiciones porque la política es Deny. { "Version": "2012-10-17", "Statement": [ { "Sid": "RequireApprovedAMIType", "Effect": "Deny", "Action": [ "ec2:RunInstances", "ec2:RunScheduledInstances", "ec2:StartInstances", "ec2:RebootInstances" ], "Resource": [ "arn:aws:ec2:::image-ami-" ], "Condition": { "ArnNotLike": { "aws:SourceArn": [ "arn:aws:ec2:*::image/ami-0xxxxxxx", "arn:aws:ec2:*::image/ami-0xxxxxxx" ] } } } ] } Commented el 17 feb. 2022 a las 10:39

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.