Я прикрепил к пользователю следующую политику, чтобы он мог запускать и останавливать один конкретный экземпляр.
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "VisualEditor0",
"Effect": "Allow",
"Action": [
"ec2:StartInstances",
"ec2:StopInstances"
],
"Resource": "arn:aws:ec2:::instance/i-01234567890"
},
{
"Sid": "VisualEditor1",
"Effect": "Allow",
"Action": "ec2:DescribeInstanceStatus",
"Resource": "*"
}
]
}
Используя следующий код, я получаю сообщение 403 при попытке запустить этот экземпляр:
conn = boto.ec2.connect_to_region("eu-west-1",
aws_access_key_id=AWS_ACCESS,
aws_secret_access_key=AWS_SECRET)
instance = conn.start_instances(instance_ids=['i-01234567890'], dry_run=True)
Что я делаю не так?
Я смоделировал политику в консоли, и кажется, что все в порядке, я могу запустить этот конкретный экземпляр в режиме моделирования. Я пробовал добавить DescribeInstances (*) к разрешениям, но даже такой подход не работает:
>>> conn.get_only_instances()[0]
Instance:i-01234567890
>>> conn.get_only_instances()[0].start()
<Permission Denied>
"arn:aws:ec2:::instance/i-01234567890"
к
"arn:aws:ec2:region:account-id:instance/i-01234567890"
где вам нужно заменить в своем регионе и идентификаторе учетной записи, поскольку они необходимы для этого типа ресурса, как описано в https://docs.aws.amazon.com/general/latest/gr/aws-arns-and-namespaces.html#arn-syntax-ec2