对亚马逊EC2实例中的文件夹具有访问权限的AWS IAM用户

Question

我已经在亚马逊EC2中创建了一个ubuntu实例。实例根目录下有3个项目文件夹：

/var/www/html/project_1
/var/www/html/project_2
/var/www/html/project_3

我想添加一个开发人员的IAM user只访问project_1文件夹，而不是其他。开发人员可以通过Filezilla或ssh客户端从ssh或sftp连接到实例中的文件夹，但只能访问project_1文件夹。

Answer 1

您混合了两种类型的身份验证。

AWS IAM用户被授予对亚马逊网络服务进行应用编程接口调用的权限，例如启动亚马逊EC2实例、将文件上传到亚马逊S3以及向亚马逊SQS队列发送消息。

但是，当登录到运行EC2的Amazon实例时，该实例上的操作系统负责安全性，通常使用与用户关联的SSH密钥对。这种类型的安全性是完全独立于IAM Users的。您不能将实例权限分配给IAM用户。

相反，您需要：

• 在EC2实例上创建单独的Linux用户
• 使用您的标准公司安全性来验证该实例(例如Active Directory或LDAP)。如果你没有一个中央目录认证服务，那么你将需要为每个用户生成密钥对，将他们的公共密钥对放在他们的家庭chown)
• Users标准Linux技术中的用户的.ssh/authorized_keys文件中，以便为实例上的用户分配文件夹/文件访问权限(例如chown)
• Users可以ssh/scp到实例，提供他们的用户名和私有密钥对)。他们将根据所授予的权限访问这些文件。

Linux底线：，它是标准的。像分配内部部署计算机一样分配权限。

Answer 2

您应该创建具有以下权限的单独用户：

任何需要访问您的亚马逊网络服务EC2实例的用户。

您还需要为您的文件夹提供权限，以确定哪些用户或用户组可以访问这些文件夹。

参考-

https://www.digitalocean.com/community/tutorials/how-to-create-a-sudo-user-on-ubuntu-quickstart

Answer 3

实现目标的一种方法是将文件放在S3中，然后将S3存储桶挂载到EC2中。您可以通过将/var/www/html/中的文件夹与您的S3存储桶同步来挂载。作为参考，请使用this link。

现在，您可以configure您的IAM用户，使其只能访问该存储桶，并在其中进行任何您想要的更改，这将反映在EC2中。现在您也可以使用FTP访问S#存储桶了。