amazon-web-services - 通过资源标签限制AWS控制台

Question

似乎有 50 个关于通过资源标签限制用户资源的帖子。但我认为我缺少的是是否可以在控制台内实现。我启动并运行了一个 Amazon 目录服务，并通过 awsapps.com/console 站点进行登录。我的 IAM 角色中有一些测试用户，其策略如下。我希望登录的用户只能看到带有适当标签的资源。这在模拟中有效，但在控制台中无效。我收到错误“获取实例数据时发生错误:您无权执行此操作。”。

那么是否可以在控制台中限制标签？我知道它在 CLI 中。

{
"Version": "2012-10-17",   
"Statement": [
    {
     "Action": [
        "elasticmapreduce:*",
        "ec2:*",
        "cloudwatch:*",
        "s3:*",
        "sdb:*",
        "iam:PassRole",
        "iam:ListRoles"
      ],
      "Effect": "Allow",
      "Resource": "*",
    "Condition": {
                "StringEquals": {"ec2:ResourceTag/critical": "true"}
            }
    }
  ]
}

Answer 1

AWS 管理控制台无法仅显示一组有限的资源。显示资源所需的权限意味着他们可以查看所有资源。但是，仍然可以分配权限来限制他们可以执行的操作(例如，仅启动/停止具有特定标记的实例)。

Amazon EC2 管理控制台能够通过标签、ID 等过滤资源。这意味着用户可以限制其资源 View ，但并不能阻止他们查看所有资源。

管理控制台还具有 Resource Groups ，这是一种按属性(例如标签)对资源进行分组的方法。然后，用户可以查看共享此属性的所有资源。