我无法弄清楚我在 AWS IAM 中缺少哪些允许编辑防火墙规则的权限

Question

我正在尝试创建一个策略，但无论我尝试哪种变体，它都不起作用。

我只是希望用户能够在安全组中编辑入站/出站规则。我最终放弃了尝试指定资源只是为了排除它作为原因。

{
"Version": "2012-10-17",
"Statement": [
    {
        "Sid": "VisualEditor0",
        "Effect": "Allow",
        "Action": [
            "ec2:RevokeSecurityGroupIngress",
            "ec2:AuthorizeSecurityGroupEgress",
            "ec2:AuthorizeSecurityGroupIngress",
            "ec2:UpdateSecurityGroupRuleDescriptionsEgress",
            "ec2:CreateSecurityGroup",
            "ec2:RevokeSecurityGroupEgress",
            "ec2:DeleteSecurityGroup",
            "ec2:UpdateSecurityGroupRuleDescriptionsIngress"
        ],
        "Resource": "*"
    },
    {
        "Sid": "VisualEditor1",
        "Effect": "Allow",
        "Action": [
            "ec2:DescribeInstanceAttribute",
            "ec2:DescribeInstanceStatus",
            "ec2:DescribeInstances",
            "ec2:DescribeNetworkAcls",
            "ec2:DescribeSecurityGroups"
        ],
        "Resource": "*"
    }
]
}

这是用户所看到的

我可以确认用户已正确添加到策略中，因为作为测试，我实际上为用户提供了对所有内容的所有权限，它运行良好并显示了入站规则。

我什至尝试过 AWS 文档，它告诉我一些权限甚至不存在：https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/iam-policies-ec2-console.html

确切地说是"ec2:DescribeSecurityGroupsRules"

Answer 1

DescribeSecurityGroupRules 似乎是在您写此问题前 2 天添加的！

见：Easily Manage Security Group Rules with the New Security Group Rule ID | AWS News Blog

这可以解释为什么现有文档没有引用这些权限。

因此，我建议为ec2:DescribeSecurityGroupRules 和ec2:ModifySecurityGroupRules 添加权限。

为控制台获取正确的权限总是很棘手，因为要知道控制台进行的所有 API 调用并不容易。在这种情况下，我们很幸运控制台提到了所需的权限！有时，您可以通过检查 AWS CloudTrail 日志来发现正在执行的 API 调用。