设置 EC2 Instance Connect

为 EC2 Instance Connect (Amazon CLI) 授予 IAM 委托人权限

1. 创建一个 JSON 策略文档，其中包含以下内容：

   • ec2-instance-connect:SendSSHPublicKey 操作。此操作为 IAM 委托人授予将公有密钥推送到实例的权限。使用 ec2-instance-connect:SendSSHPublicKey，考虑限制对特定 EC2 实例的访问。否则，具有此权限的所有 IAM 用户都可以连接到所有 EC2 实例。您还可以通过指定资源 ARN 或使用资源标签作为 条件键来限制访问。

   • ec2:osuser 条件。这指定可以将公有密钥推送到实例的操作系统用户的名称。使用用于启动实例的 AMI 的默认用户名称。对于 Amazon Linux 2，默认用户名称为 ec2-user，对于 Ubuntu，为 ubuntu。

   • ec2:DescribeInstances 操作。使用 EC2 Instance Connect CLI 时此操作是必需的，因为包装程序会调用此操作。IAM 委托人可能已经拥有从另一个策略调用此操作的权限。

   下面是示例策略文档。如果您的用户将仅使用 SSH 客户端连接到您的实例，则可以省略 ec2:DescribeInstances 操作的语句。您可以使用通配符 Resource 替换 * 中的指定实例，以授予用户使用 EC2 Instance Connect 访问所有 EC2 实例的权限。

   {
       "Version": "2012-10-17",
       "Statement": [
         {
           "Effect": "Allow",
           "Action": "ec2-instance-connect:SendSSHPublicKey",
           "Resource": [
               "arn:aws:ec2:region:account-id:instance/i-1234567890abcdef0",
               "arn:aws:ec2:region:account-id:instance/i-0598c7d356eba48d7"
           ],
           "Condition": {
               "StringEquals": {
                   "ec2:osuser": "ami-username"
               }
           }
         },
         {
           "Effect": "Allow",
           "Action": "ec2:DescribeInstances",
           "Resource": "*"
         }
       ]
   }

   上述策略允许访问特定的实例（由其实例 ID 标识）。或者，您也可以使用资源标签控制对实例的访问。基于属性的访问控制是一种授权策略，它根据可附加到用户和 Amazon 资源的标签来定义权限。例如，只有在实例具有包含 tag-key 键和 tag-value 值的资源标签时，以下策略才允许用户访问该实例。有关使用标签控制对Amazon资源的访问的更多信息，请参阅 IAM 用户指南中的控制对Amazon资源的访问。

   { 
      "Version":"2012-10-17",
      "Statement":[ 
         { 
            "Effect":"Allow",
            "Action":"ec2-instance-connect:SendSSHPublicKey",
            "Resource": "arn:aws:ec2:region:account-id:instance/*",
            "Condition":{ 
               "StringEquals":{ 
                  "aws:ResourceTag/tag-key":"tag-value"
               }
            }
         },
         {
           "Effect": "Allow",
           "Action": "ec2:DescribeInstances",
           "Resource": "*"
         }
      ]
   }

2. 使用 create-policy 命令创建新的托管式策略，并指定您创建的 JSON 文档以作为新策略的内容。

   $ aws iam create-policy --policy-name my-policy --policy-document file://JSON-file-name

3. 使用 attach-user-policy 命令将托管式策略附加到指定用户。对于 --user-name 参数，请指定用户的友好名称（而不是 ARN）。

   $ aws iam attach-user-policy --policy-arn arn:aws:iam::account-id:policy/my-policy --user-name IAM-friendly-name