Consoleで限られた操作ができるユーザを作成する2013年07月22日ishizimaTweet皆さんこんにちは。梅雨が明けて真夏日ばかりの日々ですね。暑いのが苦手なので、この季節は堪えます。先日外部の方にEC2のインスタンス管理を任せたいという事案が発生しました。頻繁に使うインスタンスではないため、使用時だけ立ち上げて終わったら落とす、という運用です。Consoleを使うことになりました。普段のAWSアカウントを渡すわけにはいきません。このエントリーは操作範囲を極力限定したアカウントを作るための備忘録です。Consoleにログインできる特定のインスタンスだけ操作できるちなみに、これだけだとEC2のインスタンス一覧は見えてしまうのですが、そこは止む無しと判断しました。AWSのポリシー設定についてAWSの各リソースや操作に関する権限は、グループやユーザに対してJSONフォーマットで表現されるポリシー設定を適用(Attach)することで、許可・禁止を細かく設定することができます。ポリシー設定には随所でワイルドカード(*)が使えることもあり、非常に柔軟な表現が可能です。Generatorで生成することで用意します。操作対象である機能やリソースに関するアドレス(ARN)は自動生成されないので、完全自動ではありません。今回は複数のユーザを渡さなければならないこと、それらのユーザ間に権限の差異はないことから、グループ側にポリシーを設定します。Consoleでインスタンスの一覧を見るための許可、及び操作権限を特定のインスタンスに限る、という2つのポリシーを作成について解説します。以降の項で解説するポリシーを有効にするには、グループにポリシーをAttachしなければなりません。Policyを選択します。以下の内容でグループにAttachしてください。]}EC2の設定項目の取得をガッツリ許可しました。あたりだけで済む気もするんですが、、、誰か実験して教えてください。特定インスタンスの操作権限ちょっと雑ですけど、指定したインスタンスに対する全ての操作を以下のポリシーをAttachすることで許可できます。]}複数のインスタンスを対象とする場合はResourceを配列にするか、ワイルドカードを使用します。呼ばれる記法で指定します。EC2のインスタンスは以下のように表現します。arn:aws:ec2:ap-northeast-1:123456789012:instance/i-XXXXXXXXこれは、以下のような構造になっています。ec2、s3などが入ります。