Permissões obrigatórias do IAM - Amazon EBS

As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Permissões obrigatórias do IAM

Por padrão, os usuários não têm permissão para usar o arquivamento de snapshots. Para permitir que os usuários usem arquivamento de snapshots, crie políticas do IAM que concedam permissão para o uso dos recursos e ações de API específicos. Para obter mais informações, consulte Criar políticas do IAM no Guia do usuário do IAM.

Para usar o arquivamento de snapshots, os usuários precisam das permissões a seguir.

  • ec2:DescribeSnapshotTierStatus

  • ec2:ModifySnapshotTier

  • ec2:RestoreSnapshotTier

Os usuários do console podem precisar de permissões adicionais, como ec2:DescribeSnapshots.

Para arquivar e restaurar instantâneos criptografados, são necessárias as seguintes permissões adicionais do AWS KMS.

  • kms:CreateGrant

  • kms:Decrypt

  • kms:DescribeKey

A seguir está um exemplo de política do IAM que dá aos usuários do IAM permissão para arquivar, restaurar e visualizar snapshots criptografados e não criptografados. Isso inclui a permissão ec2:DescribeSnapshots para usuários do console. Se algumas permissões não forem necessárias, você poderá removê-las da política.

dica

Para seguir o princípio de menor privilégio, não permita acesso total a kms:CreateGrant. Em vez disso, use a chave de condição kms:GrantIsForAWSResource para permitir que o usuário crie concessões na chave do KMS somente quando a concessão for criada em nome do usuário por um serviço da AWS, conforme mostrado no exemplo a seguir.

{
    "Version": "2012-10-17",
    "Statement": [{
        "Effect": "Allow",
        "Action": [
            "ec2:DescribeSnapshotTierStatus",
            "ec2:ModifySnapshotTier",
            "ec2:RestoreSnapshotTier",
            "ec2:DescribeSnapshots",
            "kms:CreateGrant",
            "kms:Decrypt",
            "kms:DescribeKey"
        ],
        "Resource": "*",
        "Condition": {
                "Bool": {
                    "kms:GrantIsForAWSResource": true
                }
            }
    }]
}

Para conceder acesso, adicione as permissões aos seus usuários, grupos ou perfis: