View a markdown version of this page

Concessione dell'autorizzazione a collegare un ruolo IAM a un'istanza - Amazon Elastic Compute Cloud

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Concessione dell'autorizzazione a collegare un ruolo IAM a un'istanza

Le tue identità Account AWS, ad esempio gli utenti IAM, devono disporre di autorizzazioni specifiche per avviare un'istanza Amazon EC2 con un ruolo IAM, collegare un ruolo IAM a un'istanza, sostituire il ruolo IAM per un'istanza o scollegare un ruolo IAM da un'istanza. Se necessario, devi concedergli l'autorizzazione per utilizzare le seguenti operazioni API:

  • iam:PassRole

  • ec2:AssociateIamInstanceProfile

  • ec2:DisassociateIamInstanceProfile

  • ec2:ReplaceIamInstanceProfileAssociation

Nota

Se specifichi la risorsa per iam:PassRole come *, ciò garantisce l'accesso per passare uno qualsiasi dei tuoi ruoli IAM a un'istanza. Per seguire la procedura ottimale del privilegio minimo, specifica gli ARN di ruoli IAM specifici con iam:PassRole, come mostrato nella policy di esempio riportata di seguito.

Esempio di policy per l'accesso programmatico

La seguente policy IAM concede le autorizzazioni per avviare istanze con un ruolo IAM, collegare un ruolo IAM a un'istanza o sostituire il ruolo IAM per un'istanza utilizzando AWS CLI o l'API Amazon EC2.

JSON
{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
         "ec2:RunInstances",
         "ec2:AssociateIamInstanceProfile",
         "ec2:DisassociateIamInstanceProfile",
         "ec2:ReplaceIamInstanceProfileAssociation"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": "iam:PassRole",
      "Resource": "arn:aws:iam::123456789012:role/DevTeam*"
    }
  ]
}
Requisito aggiuntivo per l'accesso alla console

Per concedere le autorizzazioni per eseguire le stesse operazioni mediante la console Amazon EC2, è necessario includere anche l'operazione API iam:ListInstanceProfiles.