amazon-web-services - east - iam role

¿Puede una política de IAM de Aws referirse dinámicamente al nombre de usuario registrado?

Question

Intento escribir una política de IAM que controlará el acceso a las instancias de ec2. Todas las instancias ec2 tendrán una etiqueta personalizada llamada nombre de usuario y solo si el valor de la etiqueta coincide con el nombre de usuario del usuario conectado, ¿tendrá ese usuario acceso a esa instancia ec2? Esto es lo que se me ocurrió:

{
"Version": "2012-10-12",
"Statement": [
{
"Effect": "Allow",
"Action": "ec2:*",
"Resource": "*",
"Condition": {
"StringEquals": {
"ec2:ResourceTag/username": "arn:aws:iam::account-number-without-hyphens:user/username1"
}
}
}
]

}

Estoy seguro de que ves el problema aquí. No quiero codificar el nombre de usuario en el lado derecho. Deseo poder obtener esa información en tiempo de ejecución o tiempo de evaluación de políticas.

¿Es posible hacerlo?

--su

Answer 1

El usuario de IAM se puede consultar en los documentos de política por ${aws:username} .

Hay una lista de otras variables de políticas de IAM y sus usos aquí:

http://docs.aws.amazon.com/IAM/latest/UserGuide/PolicyVariables.html