如何创建限制资源的 AutoScaling IAM 角色？

Question

如果我正在创建自定义自动缩放策略并尝试仅限制使用 KJ 开始的资源，而创建 EMR 自动缩放状态失败，而不是如果我指定“*”那么它可以正常工作.. 有什么我下面的政策代码中缺少吗？

    resource "aws_iam_policy" "aut_policy" {
      name        = "test_autoscale_policy"
      #path        = "/"
      description = ""

      policy = <<EOF
    {
      "Version": "2012-10-17",
      "Statement": [
        {
          "Action": [
                    "cloudwatch:DescribeAlarms",
                    "elasticmapreduce:ListInstanceGroups",
                    "elasticmapreduce:ModifyInstanceGroups"
                ],
          "Effect": "Allow",
          "Resource": [
                       "arn:aws:elasticmapreduce:*:*:kj*",
                       "arn:aws:ec2:*:*:kj*",
                       "arn:aws:events:*:*:kj*",
                       "arn:aws:dynamodb:*:*:table/kj*",
                       "arn:aws:cloudwatch:*:*:kj*"]
        }
      ]
    }
    EOF
    }

如何创建限制资源的 AutoScaling IAM 角色？

Answer 1

IAM 操作 elasticmapreduce:ListInstances 和 elasticmapreduce:ModifyInstanceGroups 都需要如下所示的 cluster* 资源 ARN：

arn:${Partition}:elasticmapreduce:${Region}:${Account}:cluster/${ClusterId}

提供如下所示的资源 ARN 模式将不匹配任何受支持的资源，并且不允许自动缩放在您的资源上调用这些 Elastic MapReduce API：

arn:aws:elasticmapreduce:*:*:kj*

以下cluster* Resource ARN 应该可以正常工作：

arn:aws:elasticmapreduce:*:*:cluster/kj*

IAM 操作 cloudwatch:DescribeAlarms 需要如下所示的 alarm* 资源 ARN：

arn:${Partition}:cloudwatch:${Region}:${Account}:alarm:${AlarmName}

提供如下所示的资源 ARN 模式将不匹配任何受支持的资源，并且不允许自动缩放在您的资源上调用 CloudWatch API：

arn:aws:cloudwatch:*:*:kj*

以下alarm* Resource ARN 应该可以正常工作：

arn:aws:cloudwatch:*:*:alarm:kj*

指定了以下资源 ARN，但它们不是匹配的操作（无害，但令人困惑）：

"arn:aws:ec2:*:*:kj*",
"arn:aws:events:*:*:kj*",
"arn:aws:dynamodb:*:*:table/kj*",

我强烈建议将帐户限制在 ARN 中。这可能是最重要的限制，因为任何其他帐户都可以创建以 kj 开头的资源。

您可以在此处阅读有关 Amazon Elastic MapReduce 的操作、资源和条件键的更多信息：

https://docs.aws.amazon.com/IAM/latest/UserGuide/list_amazonelasticmapreduce.html

您可以在此处阅读有关 Amazon CloudWatch 的操作、资源和条件键的更多信息：

https://docs.aws.amazon.com/IAM/latest/UserGuide/list_amazoncloudwatch.html#amazoncloudwatch-alarm