每个 VPC 访问的跨账户

Question

所有开发人员和测试人员都在开发帐户（帐户 d）中。生产和测试环境是另一个帐户（帐户 x），但是在两个不同的 VPC 中 - VPC-P 和 VPC-T。当开发人员仅享受对 VPC-P 的访问时，如何限制测试人员访问 VPC-P。 Account X 中还有其他 VPC。开发人员/测试人员无需访问 Account X 中的其他内容。

Answer 1

看来你的情况是：

帐户-D 包含：

• 面向开发人员和测试人员的 IAM 用户

Account-X 包含：

• VPC-P
• VPC-T

您希望允许 Account-D 中的“测试人员”修改 VPC-T 上的设置。

您希望允许 Account-D 中的“开发者”修改 VPC-P 上的设置。

这似乎是不可能的。根据Actions, Resources, and Condition Keys for Amazon EC2 - AWS Identity and Access Management，只有部分action可以接受VPC作为条件，比如：

• ec2:CreateVpcPeeringConnection
• ec2:CreateNetworkInterfacePermission
• ec2:CreateRoute

CreateSubnet 和 DeleteSubnet 等命令不允许任何条件。

因此，不可能将许多与 VPC 相关的权限限制为仅在特定 VPC 上运行。

鉴于您正在与测试人员和开发人员打交道，我会建议为每个环境使用单独的 AWS 账户。拥有一个开发者账户，其中定义了 IAM 用户和 VPC。为测试人员提供一个单独的 AWS 账户，以确保他们无权访问开发人员账户。这创建了一个干净的环境分离。