Я пытаюсь понять последствия для безопасности предоставления доступа к действию EC2 create-image. В документы говорят, что действие create-image не поддерживает ресурсы IAM, поэтому похоже, что предоставление доступа к этому действию позволит любому, у кого есть доступ к изображению любого из наших экземпляров EC2. Это правильно?
Кроме того, если пользователь может создать образ, а затем запустить экземпляр, я считаю, что он может запустить новый экземпляр со своей парой ключей и получить доступ к конфиденциальной информации, которая в противном случае была бы недоступна в узле. Это правильно?
это Сообщение блога предполагает, что мы можем использовать разрешения на уровне ресурсов для ограничения того, какие AMI может запускать пользователь, но я понимаю, что IAM может позволить нам контролировать, кто может создавать теги, но не ограничивать, какие теги они могут создавать / изменять, какие узлы EC2 или AMI могут быть тегированы.
Все это приводит к моему основному вопросу XY.
Есть ли способ предоставить некоторым разработчикам возможность отображать некоторые узлы EC2, не раскрывая безопасные учетные данные, которые могут существовать на других узлах EC2?