限制AccessKey使用范围的source ip

最新推荐文章于 2024-12-11 17:14:34 发布

原创最新推荐文章于 2024-12-11 17:14:34 发布 · 1.6k 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#AccessKey #SourceIP #AWS

IAM 专栏收录该内容

3 篇文章

订阅专栏

本文介绍如何通过创建特定用户、限制权限使用方式及设置策略来增强AWS管理员权限的安全性，包括创建无密码用户、使用MFA绑定手机、创建API用户并限制IP访问等措施。

部署运行你感兴趣的模型镜像

有时候我们需要限制一下某些权限较高的用户使用权限的方式，来增强安全性。
我给个方案，可使AWS管理员的权限使用起来更安全：
（1）创建用户wangfei，不要AccessKey，管理员权限，设置密码（设置了密码才能web console登录），只用作浏览器操作，然后使用MFA绑定手机，这样可以在任何地点用web console来操作，绑定了手机验证登录，而且还没有AccessKey，比较安全。
（2）创建wangfei-api用户，不设置密码，无web console登录权限，创建AccessKey, 只用作API操作, 然后授权，然后加入如下这个策略来限制AccessKey使用的来源IP

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Deny",
    "Action": "*",
    "Resource": "*",
    "Condition": {
      "NotIpAddress": {
        "aws:SourceIp": ["114.255.34.0/24", "114.247.160.128/25"]
      }
    }
  }]
}

在白名单IP范围内正常操作
在有权限但不在IP白名单内地方执行API操作时会报错
A client error (UnauthorizedOperation) occurred when calling the DescribeVpcs operation: You are not authorized to perform this operation.

您可能感兴趣的与本文相关的镜像