11、虚拟专用云（VPC）详解

虚拟专用云（VPC）详解

1. 访问控制

在设计 VPC 架构时，建议至少使用一种权限策略。应根据个人的角色授予其对 VPC 中各种资源和服务的访问权限。组织中可能存在多种角色，如网络管理员、开发人员、数据库管理员、测试人员等。所有这些不同角色的人员应根据其组织角色的要求，获得对特定资源和服务的访问权限。AWS IAM 使我们能够为不同用户定义不同的访问策略，而不是给予他们全部控制权。通过定义访问策略，我们可以限制用户使用特定的 API，并对各种 AWS 服务采取有限的操作。

以下是一个网络管理员的访问策略示例，该策略授予管理员创建和管理 VPC 的权限：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ec2:*Vpc*",
                "ec2:*Subnet*",
                "ec2:*Gateway*",
                "ec2:*Vpn*",
                "ec2:*Route*",
                "ec2:*Address*",
                "ec2:*SecurityGroup*",
                "ec2:*NetworkAcl*",
                "ec2:*DhcpOptions*",
                "ec2:RunIns