具有资源标签条件的 AWS Instance Connect

Question

我正在尝试通过在我的实例连接策略中使用资源标签条件来限制对 ec2 实例的 ssh 访问。所以基本上我有这样的东西：

{
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": "ec2-instance-connect:SendSSHPublicKey",
        "Resource": "arn:aws:ec2:*:*:instance/*",,
        "Condition": {
            "StringEquals": {"ec2:ResourceTag/Squad": "blah"}
        }
      },
      {
        "Effect": "Allow",
        "Action": "ec2:DescribeInstances",
        "Resource": "*"
      }
    ]
}

但是，这似乎不起作用。实例连接不能使用ec2:ResourceTag 条件吗？我已经看到它在ec2:osuser 这样的条件下工作，所以我想知道是否存在限制或我做错了什么。

Answer 1

我认为 IAM 政策无法限制 ssh 访问。我不确定，但我没有听到任何人限制 SSH 的 IAM 政策。我认为它必须设置到您的 EC2 实例中。