运行 Boto 函数所需的最低 IAM 策略

Question

我正在尝试在 python 脚本中运行一些 boto 函数。我需要创建一个具有执行这些 boto 函数所需的最低权限的 IAM 策略。有什么好方法可以将这些 boto 函数与我需要执行它们的 AWS IAM 权限相关联。

例如，这是我拥有的 boto 模块 (python)。用户需要什么 IAM 权限才能运行它们？有什么好办法可以找到这个吗？

boto.ec2.autoscale.connect_to_region

boto.ec2.elb.connect_to_region

boto.ec2.connect_to_region

boto.ec2.instance.Instance

boto.ec2.elb.loadbalancer.LoadBalancer

boto.ec2.autoscale.group.AutoScalingGroup

Answer 1

您列出的函数与对 AWS 的 API 调用之间没有 1:1 的相关性。如果您使用一个client函数，那么您需要该函数的特定权限，例如：response = ec2_client.describe_instances()此命令需要ec2:DescribeInstances许可。boto3 还提供resource了提供更像对象体验的功能，例如：instance = ec2_resource.Instance('id')此类函数可以调用任意数量的底层 API 调用，因此很难确定此类调用所需的权限。您可以使用AWS CloudTrail查看进行的底层 API 调用，以便确定权限。