Estoy tratando de comprender las implicaciones de seguridad de otorgar acceso a la acción EC2 de creación de imagen. EldocumentosDigamos que la acción crear imagen no admite recursos de IAM, por lo que parece que otorgar acceso a esta acción permitirá que cualquier persona con acceso pueda crear una imagen de cualquiera de nuestras instancias EC2. ¿Es eso correcto?
Además, si un usuario puede crear una imagen y luego ejecutar una instancia, creo que puede iniciar la nueva instancia con su par de claves y obtener acceso a información confidencial dentro del nodo que de otro modo estaría fuera de límites. ¿Es eso correcto?
Esteentrada en el blogsugiere que podemos usar permisos a nivel de recursos para limitar qué AMI puede ejecutar un usuario, pero tengo entendido que IAM puede permitirnos controlar quién puede crear etiquetas pero no limitar qué etiquetas pueden crear/modificar, o qué nodos EC2 o Las AMI se pueden etiquetar.
Todo esto lleva a mi pregunta central XY.
¿Existe alguna manera de otorgar a algunos desarrolladores la capacidad de crear imágenes de algunos nodos EC2 sin exponer las credenciales seguras que podrían existir en otros nodos EC2?