用于 AWS 管理控制台中的策略示例 - Application Auto Scaling
AWS 文档中描述的 AWS 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 AWS 服务入门

用于 AWS 管理控制台中的策略示例

没有独立的 Application Auto Scaling 控制台。与 Application Auto Scaling 集成的大多数服务都具有专用于帮助您通过控制台配置扩展的功能。

在大多数情况下,每个服务都提供 AWS 托管(预定义)IAM 策略,用于定义对其控制台的访问权限,其中包括对 Application Auto Scaling API 操作的权限。有关详细信息,请参阅要使用其控制台的服务的文档。

您还可以创建自己的自定义 IAM 策略,为用户授予在 AWS 管理控制台中查看和处理特定 Application Auto Scaling 操作的细粒度权限。您可以使用上一部分中的策略;但是,这些策略设计用于使用 AWS CLI 或 AWS 开发工具包发出的请求。控制台使用其他 API 操作实现其功能,因此这些策略可能不会按预期方式起作用。例如,要配置分步扩展,用户可能需要额外的权限来创建和管理 CloudWatch 警报。

提示

为帮助您了解在控制台中执行任务所需的相应 API 操作,您可以使用 AWS CloudTrail 等服务。有关更多信息,请参阅 AWS CloudTrail User Guide

下面显示允许用户为 Spot 队列配置扩展策略的权限策略示例。除了 Spot 队列的IAM 权限之外,从控制台访问队列扩展设置的 IAM 用户必须对支持动态扩展的服务具有适当的权限。

{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "application-autoscaling:*", "ec2:DescribeSpotFleetRequests", "ec2:ModifySpotFleetRequest", "cloudwatch:DeleteAlarms", "cloudwatch:DescribeAlarmHistory", "cloudwatch:DescribeAlarms", "cloudwatch:DescribeAlarmsForMetric", "cloudwatch:GetMetricStatistics", "cloudwatch:ListMetrics", "cloudwatch:PutMetricAlarm", "cloudwatch:DisableAlarmActions", "cloudwatch:EnableAlarmActions", "sns:CreateTopic", "sns:Subscribe", "sns:Get*", "sns:List*" ], "Resource": "*" }, { "Effect": "Allow", "Action": "iam:CreateServiceLinkedRole", "Resource": "arn:aws-cn:iam::*:role/aws-service-role/ec2.application-autoscaling.amazonaws.com/AWSServiceRoleForApplicationAutoScaling_EC2SpotFleetRequest", "Condition": { "StringLike": { "iam:AWSServiceName":"ec2.application-autoscaling.amazonaws.com" } } } ] }

此策略允许用户在 Amazon EC2 控制台中查看和修改扩展策略,并在 CloudWatch 控制台中创建和管理 CloudWatch 警报。

您可以调整 API 操作以限制用户访问权限。例如,将 application-autoscaling:Describe* 替换为 application-autoscaling:* 意味着用户具有只读访问权限。

还可以根据需要调整 CloudWatch 权限,以限制用户对 CloudWatch 功能的访问权限。有关更多信息,请参阅 Amazon CloudWatch 用户指南 中的使用 CloudWatch 控制台所需的权限

请记住,首次为给定服务配置扩展时,Application Auto Scaling 需要具有创建服务相关角色的权限。例如,为添加到 Spot 队列的第一个扩展配置创建此角色后,您无需将此权限添加到同一 AWS 账户中使用 Spot 队列的其他用户。