AWS Backup备份EC2实例失败，求安全的最小权限配置建议

问题根源分析 #

你之前的自定义权限策略失败，核心原因是缺少两个关键操作权限：

1. ec2:DescribeTags：按标签筛选EC2实例时，必须通过该API获取符合标签条件的资源列表，没有此权限会导致无法定位备份目标，触发「无权执行操作」错误。
2. ec2:CreateImage：如果备份计划是创建EC2 AMI（而非仅卷快照），这个是创建AMI的核心权限，之前的策略未包含，直接导致备份流程中断。

最小权限策略配置 #

以下是针对「按标签备份EC2实例」场景的最小权限策略，同时做了资源级权限收紧，避免全量权限的安全风险：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                // 标签筛选与管理
                "ec2:DescribeTags",
                "ec2:CreateTags",
                "ec2:DeleteTags",
                // 资源查询类（获取实例、卷、快照、AMI信息）
                "ec2:DescribeInstances",
                "ec2:DescribeVolumes",
                "ec2:DescribeSnapshots",
                "ec2:DescribeImages",
                // 快照操作（核心备份动作）
                "ec2:CreateSnapshot",
                "ec2:CopySnapshot",
                "ec2:DeleteSnapshot",
                // AMI操作（若备份方式为创建AMI则保留）
                "ec2:CreateImage",
                "ec2:CopyImage",
                "ec2:DeregisterImage",
                // 卷操作（仅当需要从快照恢复卷时保留）
                "ec2:CreateVolume",
                "ec2:AttachVolume",
                "ec2:DetachVolume",
                "ec2:DeleteVolume"
            ],
            "Resource": [
                "arn:aws:ec2:*:*:instance/*",
                "arn:aws:ec2:*:*:volume/*",
                "arn:aws:ec2:*:*:snapshot/*",
                "arn:aws:ec2:*:*:image/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeTags",
                "ec2:DescribeInstances",
                "ec2:DescribeVolumes",
                "ec2:DescribeSnapshots",
                "ec2:DescribeImages"
            ],
            "Resource": "*"
        }
    ]
}

进一步优化建议 #

1. 精简动作列表：

   • 如果仅备份卷快照（不创建AMI），移除ec2:CreateImage、ec2:CopyImage、ec2:DeregisterImage。
   • 如果不需要从快照恢复卷，移除ec2:CreateVolume、ec2:AttachVolume、ec2:DetachVolume、ec2:DeleteVolume。

2. 添加标签条件约束：
   可以在策略的第一个Statement中添加Condition，限制角色仅能操作带有指定标签的资源，比如只允许备份带有Backup: Yes标签的实例：

   "Condition": {
       "StringEquals": {
           "ec2:ResourceTag/Backup": "Yes"
       }
   }
   

   此配置能进一步缩小权限范围，大幅降低误操作或越权风险。

内容的提问来源于stack exchange，提问作者QH.Chu