限制AWS API访问特定IP

Question

您好，在有很多人可以对aws进行管理员访问的情况下，有什么方法可以限制对aws api的访问。 我希望具有管理员/普通访问权限的用户可以从任何地方进行只读访问，但是当他们想要更改任何内容时，应该登录到特定计算机，现在他们可以使用AWS凭证进行更改。

Answer 1

您授予访问API调用权限的策略将Allow拥有两组权限：

• 一组授予只读访问权限
• 另一个授予管理员访问权限，但条件受IP地址限制的

要仅在从某个IP地址范围进行访问时才授予权限，请使用以下内容：

{
  "Version": "2012-10-17",
  "Statement": {
    "Effect": "Allow",
    "Action": "<whatever actions you are granting>",
    "Resource": "<whatever resources you are permitting>",
    "Condition": {"IpAddress": {"aws:SourceIp": ["192.0.2.0/24"]}}
  }
}