私は、create-image EC2アクションへのアクセスを許可することによるセキュリティへの影響を理解しようとしています。ドキュメントcreate-image アクションは IAM リソースをサポートしていないため、このアクションへのアクセスを許可すると、アクセス権を持つすべてのユーザーが EC2 インスタンスのイメージを作成できるようになるようです。これは正しいですか?
さらに、ユーザーがイメージを作成してからインスタンスを実行できる場合、キーペアを使用して新しいインスタンスを起動し、ノード内の通常はアクセスできない機密情報にアクセスできると思います。これは正しいですか?
これブログ投稿リソース レベルのアクセス許可を使用して、ユーザーが実行できる AMI を制限できると示唆されていますが、私の理解では、IAM を使用すると、タグを作成できるユーザーを制御できますが、作成/変更できるタグや、タグ付け可能な EC2 ノードまたは AMI を制限することはできません。
これらすべてが、私の核となる XY の質問につながります。
他の EC2 ノードに存在する可能性のある安全な認証情報を公開せずに、一部の EC2 ノードをイメージ化する機能を一部の開発者に付与する方法はありますか?