Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Exemple SCPs pour Amazon Elastic Compute Cloud (Amazon EC2)
Rubriques
Exiger que EC2 les instances Amazon utilisent un type spécifique
Avec cette politique de contrôle des services, tous les lancements d'instances qui n'utilisent pas le type d'instance t2.micro
sont refusés.
{ "Version": "2012-10-17", "Statement": [ { "Sid": "RequireMicroInstanceType", "Effect": "Deny", "Action": "ec2:RunInstances", "Resource": [ "arn:aws:ec2:*:*:instance/*" ], "Condition": { "StringNotEquals": { "ec2:InstanceType": "t2.micro" } } } ] }
Empêcher le lancement EC2 d'instances sans IMDSv2
La politique suivante interdit à tous les utilisateurs de lancer des EC2 instances sans IMDSv2.
[ { "Effect":"Deny", "Action":"ec2:RunInstances", "Resource":"arn:aws:ec2:*:*:instance/*", "Condition":{ "StringNotEquals":{ "ec2:MetadataHttpTokens":"required" } } }, { "Effect":"Deny", "Action":"ec2:RunInstances", "Resource":"arn:aws:ec2:*:*:instance/*", "Condition":{ "NumericGreaterThan":{ "ec2:MetadataHttpPutResponseHopLimit":"3" } } }, { "Effect":"Deny", "Action":"*", "Resource":"*", "Condition":{ "NumericLessThan":{ "ec2:RoleDelivery":"2.0" } } }, { "Effect":"Deny", "Action":"ec2:ModifyInstanceMetadataOptions", "Resource":"*" } ]
La politique suivante interdit à tous les utilisateurs de lancer des EC2 instances sans, IMDSv2 mais autorise des identités IAM spécifiques à modifier les options de métadonnées des instances.
[ { "Effect": "Deny", "Action": "ec2:RunInstances", "Resource": "arn:aws:ec2:*:*:instance/*", "Condition": { "StringNotEquals": { "ec2:MetadataHttpTokens": "required" } } }, { "Effect": "Deny", "Action": "ec2:RunInstances", "Resource": "arn:aws:ec2:*:*:instance/*", "Condition": { "NumericGreaterThan": { "ec2:MetadataHttpPutResponseHopLimit": "3" } } }, { "Effect": "Deny", "Action": "*", "Resource": "*", "Condition": { "NumericLessThan": { "ec2:RoleDelivery": "2.0" } } }, { "Effect": "Deny", "Action": "ec2:ModifyInstanceMetadataOptions", "Resource": "*", "Condition": { "ArnNotLike": { "aws:PrincipalARN": [ "arn:aws:iam::{ACCOUNT_ID}:{RESOURCE_TYPE}/{RESOURCE_NAME}" ] } } } ]
Empêcher la désactivation du chiffrement Amazon EBS par défaut
La politique suivante interdit à tous les utilisateurs de désactiver le chiffrement Amazon EBS par défaut.
{ "Effect": "Deny", "Action": [ "ec2:DisableEbsEncryptionByDefault" ], "Resource": "*" }
Empêcher la création et l'attachement de volumes non GP3
La politique suivante interdit à tous les utilisateurs de créer ou de joindre des volumes Amazon EBS qui ne sont pas du type de volume gp3. Pour plus d'informations, consultez la section Types de volumes Amazon EBS.
{ "Version": "2012-10-17", "Statement": [ { "Sid": "DenyCreationAndAttachmentOfNonGP3Volumes", "Effect": "Deny", "Action": [ "ec2:AttachVolume", "ec2:CreateVolume", "ec2:RunInstances" ], "Resource": "arn:aws:ec2:*:*:volume/*", "Condition": { "StringNotEquals": { "ec2:VolumeType": "gp3" } } } ] }
Cela peut aider à appliquer une configuration de volume standardisée au sein d'une organisation.
Les modifications du type de volume ne sont pas empêchées
Vous ne pouvez pas limiter l'action de modification d'un volume gp3 existant à un volume Amazon EBS d'un autre type en utilisant. SCPs Par exemple, ce SCP ne vous empêchera pas de modifier un volume gp3 existant en volume gp2. Cela est dû au fait que la clé de condition ec2:VolumeType
vérifie le type de volume avant qu'il ne soit modifié.