构建特定条件EC2实例IAM策略时遇AMI无效错误求助

你尝试构建IAM策略，仅允许满足以下条件创建EC2实例：

• 在美东（us-east-1）区域
• 实例类型为t1.micro或t2.nano
• 使用8 GiB的gp2卷

但使用提供的策略时，遇到错误提示：

"The AMI ID (ami-007855ac798b5175e) is not valid. The AMI may no longer exist or may be specific to another account or region."

问题原因 #

这个错误本质是两方面问题：一是你用的AMI确实可能不存在于us-east-1、已被删除或不属于当前账户；二是原IAM策略没有针对AMI的访问权限做合理配置，同时条件写法也有适配问题。

修正后的IAM策略 #

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ec2:RunInstances",
            "Resource": [
                "arn:aws:ec2:us-east-1::instance/*",
                "arn:aws:ec2:us-east-1::image/ami-*",
                "arn:aws:ec2:us-east-1::volume/*",
                "arn:aws:ec2:us-east-1::subnet/*",
                "arn:aws:ec2:us-east-1::network-interface/*",
                "arn:aws:ec2:us-east-1::security-group/*",
                "arn:aws:ec2:us-east-1::key-pair/*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:RequestedRegion": "us-east-1"
                },
                "ForAllValues:StringEquals": {
                    "ec2:InstanceType": [
                        "t1.micro",
                        "t2.nano"
                    ]
                },
                "ForAllValues:NumericEquals": {
                    "ec2:VolumeSize": 8
                },
                "ForAllValues:StringEquals": {
                    "ec2:VolumeType": "gp2"
                }
            }
        }
    ]
}

关键调整说明 #

• 缩小权限范围：把ec2:*改成ec2:RunInstances，遵循最小权限原则，避免开放不必要的EC2操作权限。
• 限定资源区域：所有EC2资源ARN都指定us-east-1，确保只能在目标区域操作。
• 修正条件匹配规则：卷的VolumeSize和VolumeType加上ForAllValues前缀，因为创建实例时可能挂载多个卷，这个规则能确保所有卷都符合8GiB gp2的要求。
• 开放合法AMI访问：资源中包含arn:aws:ec2:us-east-1::image/ami-*，允许使用us-east-1区域的所有公共或自有AMI，避免跨区域AMI的权限问题。

额外排查步骤 #

1. 验证你用的ami-007855ac798b5175e是否在us-east-1区域存在，可通过EC2控制台的AMI搜索功能确认。
2. 如果是自定义AMI，检查它是否在当前账户的us-east-1区域可见，且权限设置正确。

内容的提问来源于stack exchange，提问作者nguxx