限制誰可以註銷基於標籤的AMI

Question

是否可以限制誰可以通過IAM註銷AMI？我想使用的標準是附加到圖像資源的標籤。標籤爲「ReleaseStage」，值爲「Beta」，「RC」和「GA」......開發人員組中的IAM用戶不應被允許註銷標記爲「GA」的AMI。

這是可能的，如果是的話，我需要什麼樣的IAM政策文件來實現這一點？

Answer 1

AWS文檔具有

• Allow Users to Manage Amazon EBS Volumes and Amazon EC2 Instances That Have the Specified Tag表示的狀態下的使用的標籤爲策略的例子。

在給定示例中，相關線是

"Condition": {"StringEquals": {"ec2:ResourceTag/volume_user": "${aws:username}"}} 

其中volume_user是該示例中的標記的名稱，並且表達式${aws:username}是針對其被比較的值。

條件都記錄從這裏開始：

• IAM Policy Elements Reference: Condition

你的情況看起來像

"Condition": {"StringEquals": {"ec2:ResourceTag/ReleaseStage": "GA"}} 

，你會在它的作用是政策使用「否認「，將該政策附加到」開發者「小組。政策本身應該是這樣的：

{ 
    "Version": "2012-10-17", 
    "Statement": [ 
    { 
     "Effect": "Deny", 
     "Action": "ec2:DeregisterImage", 
     "Condition": {"StringEquals": {"ec2:ResourceTag/ReleaseStage": "GA"}} 
    } 
    ] 
} 

Answer 2

根據這個官方documentation，「條件」不支持行動「EC2：DeregisterImage」。 @Thomas Dickey提出的解決方案對我不起作用，我還沒有找到任何其他解決方案來執行此操作。