Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Berikan IAM izin untuk EC2 Instance Connect

Untuk menyambung ke instans menggunakan EC2 Instance Connect, Anda harus membuat IAM kebijakan yang memberikan izin kepada pengguna untuk tindakan dan kondisi berikut:

Pertimbangkan membatasi akses ke EC2 instans tertentu. Jika tidak, semua IAM kepala sekolah dengan izin untuk ec2-instance-connect:SendSSHPublicKey tindakan dapat terhubung ke semua instance. EC2 Anda dapat membatasi akses dengan menentukan sumber daya ARNs atau dengan menggunakan tanda sumber daya sebagai kunci kondisi.

Untuk informasi lebih lanjut, lihat Tindakan, sumber daya, dan kunci kondisi untuk Amazon EC2 Instance Connect.

Untuk informasi tentang membuat IAM kebijakan, lihat Membuat IAM kebijakan di Panduan IAM Pengguna.

Izinkan pengguna untuk terhubung ke instans tertentu

IAMKebijakan berikut memberikan izin untuk terhubung ke instans tertentu, yang diidentifikasi oleh sumber daya. ARNs

Dalam contoh IAM kebijakan berikut, tindakan dan kondisi berikut ditentukan:

{
    "Version": "2012-10-17",
    "Statement": [{
            "Effect": "Allow",
            "Action": "ec2-instance-connect:SendSSHPublicKey",
            "Resource": [
                "arn:aws:ec2:region:account-id:instance/i-1234567890abcdef0",
                "arn:aws:ec2:region:account-id:instance/i-0598c7d356eba48d7"
            ],
            "Condition": {
                "StringEquals": {
                    "ec2:osuser": "ami-username"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeInstances",
                "ec2:DescribeVpcs"
            ],
            "Resource": "*"
        }
    ]
}

Izinkan pengguna untuk terhubung ke instans dengan tanda tertentu

Kontrol akses berbasis atribut (ABAC) adalah strategi otorisasi yang menentukan izin berdasarkan tag yang dapat dilampirkan ke pengguna dan sumber daya. AWS Anda dapat menggunakan tanda sumber daya untuk mengontrol akses ke instans. Untuk informasi selengkapnya tentang menggunakan tanda untuk mengontrol akses ke AWS sumber daya Anda, lihat Mengontrol akses ke AWS sumber daya di Panduan IAM Pengguna.

Dalam IAM kebijakan contoh berikut, ec2-instance-connect:SendSSHPublicKey tindakan memberikan izin kepada pengguna untuk terhubung ke instance apa pun (ditunjukkan oleh * wildcard di sumber dayaARN) dengan syarat instance memiliki tag sumber daya dengan key= dan value=tag-key. tag-value

Tindakan ec2:DescribeInstances ditentukan untuk memberikan izin kepada pengguna yang akan menggunakan konsol untuk terhubung ke instans Anda. Jika pengguna Anda hanya akan menggunakan SSH klien untuk terhubung ke instans Anda, Anda dapat ec2:DescribeInstances menghilangkannya. Perhatikan bahwa ec2:Describe* API tindakan tersebut tidak mendukung izin tingkat sumber daya. Oleh karena itu, wildcard * dibutuhkan dalam Resource.

ec2:DescribeVpcsTindakan ditentukan untuk memberikan izin kepada pengguna yang akan menggunakan konsol untuk terhubung ke instance Anda menggunakan IPv6 alamat. Jika pengguna Anda hanya akan menggunakan IPv4 alamat publik, Anda dapat menghilangkannyaec2:DescribeVpcs. Perhatikan bahwa ec2:Describe* API tindakan tersebut tidak mendukung izin tingkat sumber daya. Oleh karena itu, wildcard * dibutuhkan dalam Resource.

{
    "Version": "2012-10-17",
    "Statement": [{
            "Effect": "Allow",
            "Action": "ec2-instance-connect:SendSSHPublicKey", 
            "Resource": "arn:aws:ec2:region:account-id:instance/*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/tag-key": "tag-value"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeInstances",
                "ec2:DescribeVpcs"
            ],
            "Resource": "*"
        }
    ]
}