如何在AWS中限制IAM组权限至单个VPC？混合策略配置疑问

核心需求梳理 #

你要给某个IAM组配置一套权限：关联ViewOnlyAccess和AmazonInspector2ReadOnlyAccess这两个托管策略，再附加指定的内联策略，同时要把这些权限（尤其是和VPC相关的操作）限定在单个VPC里。之前写的VPC限制策略没生效，还在纠结是不是用标签策略更合适。

为啥你的VPC限制策略没生效？ #

你之前写的ec2:DescribeInstances加ec2:Vpc条件没用，问题出在：大部分EC2的Describe*这类只读API属于全局操作，根本不支持用ec2:Vpc条件直接过滤。这个条件键只对创建、修改类的EC2操作（比如启动实例、创建子网）有用，对只读的描述类动作不生效——AWS的条件键不是通用的，得看对应API支不支持。

怎么实现VPC范围的权限限制？ #

得把你的操作分成两类来处理：

1. 分类型配置策略 #

• 全局/非VPC绑定的操作：像account:Get*、wellarchitected:List*这些，本身和VPC没关系，没法通过VPC条件限制，只能保留Resource: "*"；
• 和VPC关联的资源操作：比如Glue的VPC连接、EC2资源，得用对应服务支持的条件键或者资源ARN来限制。

2. 修正后的内联策略示例 #

针对你要的动作，调整后的策略如下：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "a4b:Get*",
        "account:Get*",
        "securityhub:BatchImportFindings",
        "ssm-incidents:List*",
        "wellarchitected:List*"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": "glue:GetConnections",
      "Resource": "arn:aws:glue:*:*:connection/*",
      "Condition": {
        "StringEquals": {
          "glue:VpcId": "vpc-xxxx"
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": [
        "ec2:DescribeInstances",
        "ec2:DescribeSubnets",
        "ec2:DescribeSecurityGroups"
      ],
      "Resource": "*",
      "Condition": {
        "ForAllValues:StringEquals": {
          "ec2:ResourceTag/aws:ec2:vpc-id": "vpc-xxxx"
        }
      }
    }
  ]
}

这里的关键点：

• Glue的VPC连接支持glue:VpcId条件键，直接过滤指定VPC的连接就行；
• EC2的描述类动作，改用资源标签过滤——给目标VPC里的所有EC2实例、子网、安全组都打上aws:ec2:vpc-id标签（值设为vpc-xxxx），用ForAllValues:StringEquals确保返回的资源全属于这个VPC；
• 那些不支持VPC或标签条件的全局操作，只能保持无限制，因为这类服务本身就没绑定VPC的属性。

3. 托管策略的VPC限制处理 #

ViewOnlyAccess是AWS官方的托管只读策略，里面包含一大堆全局和资源级操作。如果要限制其中和VPC相关的动作，你得：

• 把这个托管策略的内容复制出来，做成自定义策略；
• 对里面支持VPC/标签条件的动作，加上对应的条件限制；
• 用这个自定义策略替换原来的托管策略（毕竟托管策略不能改）。

是不是用基于资源标签的策略更合适？ #

没错，标签策略确实更灵活，尤其是这几种情况：

1. 你要限制的资源类型多，有些不支持直接的VPC条件键；
2. 以后可能要调整权限范围（比如从单个VPC扩到多个，改标签值就行）；
3. 部分全局操作虽然不支持VPC条件，但如果资源能打标签，就能统一过滤。

标签策略怎么实施？ #

1. 给目标VPC里的所有相关资源（EC2实例、Glue连接、RDS实例等）打上统一标签，比如VpcId: vpc-xxxx；
2. 在IAM策略里，对支持标签条件的动作，加上过滤条件：

"Condition": {
  "StringEquals": {
    "aws:ResourceTag/VpcId": "vpc-xxxx"
  }
}

3. 那些不支持标签条件的全局操作，还是只能保留Resource: "*"，或者用其他方式（比如账户级限制）补充，但这类操作一般不涉及特定VPC资源。

要注意的点 #

• 不是所有AWS服务的API都支持VPC或标签条件，得自己确认对应服务的IAM条件键支持情况；
• 描述类操作（Describe*、List*）大多是全局操作，没法用资源ARN限制，只能靠条件键；
• 托管策略不能修改，要限制里面的操作必须复制成自定义策略再调整。

内容的提问来源于stack exchange，提问作者blackPanther