Estou tentando entender as implicações de segurança de conceder acesso à ação EC2 de criação de imagem. Odocumentosdizem que a ação create-image não oferece suporte a recursos IAM, então parece que conceder acesso a esta ação permitirá que qualquer pessoa com acesso à imagem de qualquer uma de nossas instâncias do EC2. Isso está correto?
Além disso, se um usuário puder criar uma imagem e, em seguida, executar uma instância, acredito que ele poderá iniciar a nova instância com seu par de chaves e obter acesso a informações confidenciais fora do limite dentro do nó. Isso está correto?
Essepostagem no blogsugere que podemos usar permissões em nível de recurso para limitar quais AMIs um usuário pode executar, mas meu entendimento é que o IAM pode nos permitir controlar quem pode criar tags, mas não limitar quais tags eles podem criar/modificar, ou quais nós do EC2 ou AMIs podem ser marcadas.
Tudo isso leva à minha questão XY principal.
Existe uma maneira de conceder a alguns desenvolvedores a capacidade de criar imagens de alguns nós do EC2 sem expor credenciais seguras que possam existir em outros nós do EC2?