Чи можна обмежити користувачів / акаунти AWS певним регіоном?

Ми здійснюємо ряд служб AWS в регіоні eu-west-1. На жаль, здається, що багато наших розробників та інших працівників, яким потрібно створити тимчасові ресурси, забувають про цей аспект AWS і не вибирають цей регіон перед запуском екземплярів EC2, створення відра S3 тощо. В результаті вони часто опиняються в регіон us-east-1, оскільки це, як видається, є типовим, який AWS завжди використовує.

Чи можна через IAM (або іншим способом) обмежити облікові записи користувачів лише запускати / створювати речі в певному регіоні?

На жаль, ви не можете цього зробити в усьому світі. Однак для кожного продукту AWS, який його підтримує, зазвичай ви можете обмежити доступ до певного регіону.

Наприклад, для EC2 ви можете зробити наступне:

{
  "Statement":[{
    "Effect":"allow",
    "Action":"RunInstances",
    "Resource":"*",
    "Condition":{
      "StringEquals":{
        "ec2:Region":"us-west-1"
        }
      }
    }
  ]
}

Звичайно, вам потрібно буде також виписати denyправило, де це доречно.

Ось документація до сказаного.

Використовуйте щось подібне. Цей приклад обмежує доступ до двох регіонів AWS. Змініть за потребою.

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Deny",
    "Action": "*",
    "Resource": "*",
    "Condition": {
      "StringNotEquals": {
        "aws:RequestedRegion": [
          "eu-central-1",
          "eu-west-1"
        ]
      }
    }
  }]
}

З 25 квітня 2018 року AWS має глобальний ресурс aws: RequestedRegion, який можна використовувати для обмеження регіонів, до яких користувач може надсилати запити. Це не залежно від регіональної служби чи не, тому ви можете застосувати її до всіх служб.

Блог безпеки AWS

На жаль, ви не можете використовувати це в політиці організації управління послугами, щоб застосувати його до облікового запису в усьому світі, і ви повинні приєднати політику до кожного принципалу і перевірити, що це так, якщо ви хочете заблокувати обліковий запис у певних регіонах.

Прийняту відповідь на цю тему дали Syntax Error on Policy. Нижче працювали для мене:

{
"Statement": [
    {
        "Sid": "Stmt1375943389569",
        "Action": "ec2:*",
        "Effect": "Allow",
        "Resource": "*",
        "Condition": {
            "StringEquals": {
                "ec2:Region": "eu-central-1"
            }
        }
    }
]

}

Якщо ви запитуєте лише дії EC2, то так, ви можете обмежити це, як зазначено в інших відповідях. Якщо це інші послуги, я не впевнений, що ви можете це зробити ... наприклад, AWS Lambda, здається, не має змоги lambda:regionдодати умову.

З поширених запитань про AWS IAM :

З: Чи можна визначити користувачів регіонально? Спочатку не Користувачі - це глобальні суб'єкти, як сьогодні є акаунт AWS. При визначенні дозволів користувача не потрібно вказувати область. користувачі можуть користуватися послугами AWS у будь-якому географічному регіоні.

Я виявив, що це працює краще (дозволяє запускати / зупиняти / припиняти / тощо), щоб надати повний доступ EC2 для користувача лише до одного регіону - кожна інша область показує помилку під час будь-якої спроби доступу.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": "*",
            "Effect": "Allow",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "ec2:Region": "us-east-1"
                }
            }
        }
    ]
}

Цей для мене працює, я намагався створити політику за допомогою згадуваного json як прийняту відповідь, але це не працює для мене.

{
    "Version": "2012-10-17",
    "Statement": [{
        "Action": "ec2:*",
        "Effect": "Allow",
        "Resource": "*",
        "Condition": {
            "StringEquals": {
                "ec2:Region": [
                    "us-east-1"
                ]
            }
        }
    }]
}

Це поточне рішення - використання "eu-west-1":

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect"    : "Allow",
            "Action"    : "*",
            "Resource"  : "*",
            "Condition": 
            {
                "StringEquals": {
                    "aws:RequestedRegion": "eu-west-1"
                }
            }
        }
    ]
}