¿Es posible restringir usuarios / cuentas de AWS a una región específica?

Llevamos a cabo una serie de servicios de AWS en la región eu-west-1. Desafortunadamente, parece que muchos de nuestros desarrolladores y otros empleados que necesitan crear recursos temporales se olvidan de este aspecto de AWS y no seleccionan esta región antes de lanzar instancias EC2, crear cubos S3, etc. Como resultado, a menudo terminan en la región us-east-1, ya que parece ser el valor predeterminado que AWS siempre usa.

¿Hay alguna forma a través de IAM (o de alguna otra manera) de restringir las cuentas de usuario para que solo inicien / creen cosas dentro de una región específica?

Desafortunadamente no puedes hacer esto a nivel mundial. Sin embargo, para cada producto de AWS que lo admita, normalmente puede limitar el acceso a una determinada región.

Por ejemplo, para EC2, puede hacer lo siguiente:

{
  "Statement":[{
    "Effect":"allow",
    "Action":"RunInstances",
    "Resource":"*",
    "Condition":{
      "StringEquals":{
        "ec2:Region":"us-west-1"
        }
      }
    }
  ]
}

Por supuesto, también deberías emitir una denyregla cuando sea apropiado.

Aquí está la documentación de lo anterior.

Usa algo como esto. Este ejemplo restringe el acceso a dos regiones de AWS. Modifique según sea necesario.

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Deny",
    "Action": "*",
    "Resource": "*",
    "Condition": {
      "StringNotEquals": {
        "aws:RequestedRegion": [
          "eu-central-1",
          "eu-west-1"
        ]
      }
    }
  }]
}

Desde el 25 de abril de 2018, AWS tiene un recurso global aws: RequestedRegion que puede usar para limitar las regiones a las que un usuario puede enviar solicitudes. Esto es independiente de que el servicio sea regional o no, por lo que puede aplicarlo a todos los servicios.

Blog de seguridad de AWS

Desafortunadamente, no puede usar esto en la Política de control de servicios de una organización para aplicarlo a una cuenta globalmente, y debe adjuntar la política a cada principal y auditar que esto es así, si desea bloquear una cuenta en ciertas regiones.

La respuesta aceptada en este hilo dio Syntax Error on Policy. A continuación funcionó para mí:

{
"Statement": [
    {
        "Sid": "Stmt1375943389569",
        "Action": "ec2:*",
        "Effect": "Allow",
        "Resource": "*",
        "Condition": {
            "StringEquals": {
                "ec2:Region": "eu-central-1"
            }
        }
    }
]

}

Si solo solicita acciones EC2, entonces sí, puede limitarlo como se menciona en otras respuestas. Si se trata de otros servicios, no estoy seguro de que pueda hacerlo ... por ejemplo, AWS Lambda no parece tener un servicio lambda:regionque pueda agregar a una condición.

De las preguntas frecuentes para AWS IAM :

P: ¿Se pueden definir los usuarios regionalmente? Inicialmente no Los usuarios son entidades globales, como lo es hoy una cuenta de AWS. No se requiere especificar ninguna región al definir los permisos de usuario. los usuarios pueden usar los servicios de AWS en cualquier región geográfica.

Encontré que esto funciona mejor (permite iniciar / detener / finalizar / etc.) para otorgar acceso completo a EC2 para un usuario a solo una región: cada otra región muestra un error durante cualquier intento de acceso.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": "*",
            "Effect": "Allow",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "ec2:Region": "us-east-1"
                }
            }
        }
    ]
}

Este me funciona, traté de crear una política con el json mencionado como una respuesta aceptada, pero no me funciona.

{
    "Version": "2012-10-17",
    "Statement": [{
        "Action": "ec2:*",
        "Effect": "Allow",
        "Resource": "*",
        "Condition": {
            "StringEquals": {
                "ec2:Region": [
                    "us-east-1"
                ]
            }
        }
    }]
}

Esa es la solución actual: usar "eu-west-1":

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect"    : "Allow",
            "Action"    : "*",
            "Resource"  : "*",
            "Condition": 
            {
                "StringEquals": {
                    "aws:RequestedRegion": "eu-west-1"
                }
            }
        }
    ]
}