如何使用AWS Organization SCP禁止多账号下EC2分配公网IP及绑定弹性IP

可用SCP策略如下 #

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyEIPOperations",
            "Effect": "Deny",
            "Action": [
                "ec2:AllocateAddress",
                "ec2:AssociateAddress"
            ],
            "Resource": "*"
        },
        {
            "Sid": "DenyEC2WithPublicIP",
            "Effect": "Deny",
            "Action": "ec2:RunInstances",
            "Resource": "*",
            "Condition": {
                "Bool": {
                    "ec2:AssociatePublicIpAddress": "true"
                }
            }
        },
        {
            "Sid": "DenyModifySubnetPublicIPDefault",
            "Effect": "Deny",
            "Action": "ec2:ModifySubnetAttribute",
            "Resource": "*",
            "Condition": {
                "Bool": {
                    "ec2:MapPublicIpOnLaunch": "true"
                }
            }
        }
    ]
}

策略说明 #

• DenyEIPOperations 段：同时禁止用户申请新弹性IP、将弹性IP绑定到实例的操作，覆盖实例创建后绑定公网IP的场景
• DenyEC2WithPublicIP 段：拦截所有创建EC2实例时分配公网IP的请求，不管是用户手动勾选分配公网IP，还是所属子网默认开启公网IP分配，都会触发拦截
• DenyModifySubnetPublicIPDefault 段：禁止用户修改子网属性开启「启动实例时默认分配公网IP」的配置，避免用户绕过EC2创建侧的限制

配置注意事项 #

• 请将该SCP挂载到你需要管控的组织OU节点，如需对部分管理员账号开白，可在策略中添加Principal例外规则，或者将例外账号移动到不受该SCP管控的OU即可
• 建议先挂载到测试OU验证所有限制符合预期，再全量推送至生产OU

内容的提问来源于stack exchange，提问作者Bill