适用于AvailabilityZone的AWS策略

我被要求制定一项政策并将其附加到一个angular色上：政策必须做到：

描述AWS中的所有内容
允许有限访问EC2，例如创build实例，创buildAIM，创build快照，附加驱动器等，但是我希望这些策略被附加到基于区域的angular色上。所有这一切都是为了避免用户删除所有跨区域的EC2，所以如果用户删除错误等实例，他有权删除该区域only..any想法？

谢谢

我做到这一点

{ "Version": "2012-10-17", "Statement": [ { "Sid": "Stmt1499242644000", "Effect": "Allow", "Action": [ "ec2:*" ], "Resource": [ "*" ] }, { "Sid": "Stmt1499243073000", "Effect": "Deny", "Action": [ "ec2:TerminateInstances" ], "Condition": { "StringEquals": { "ec2:AvailabilityZone": "eu-west-2a" } }, "Resource": [ "arn:aws:ec2:*:*:instance/*" ] } ]

}

AWS在IAM构build器中提供的只读策略可能适用于您; 我需要一些更明确的东西，所以我为我的需要制定了一个只读政策。

不幸的是，你只能限制每个区域，而不是所有的资源都有IAM策略，接受区域特定的参数。

通常情况下，通过将有问题的资源放入VPC，然后将相关的呼叫限制在VPC内运行，将会取得更好的成效。