对于 AWS 是否有 IAM 策略限制用户仅使用免费套餐资源？

Question

我们计划临时向远程用户授予 AWS 访问权限，以执行涉及 ec2、dynamodb、lambda、api gateway 和 cognito 的特定任务。然而，我们希望确保他不会疯狂地使用大量的 AWS 资源，而我们最终不得不为此买单。是否有 IAM 策略限制用户只能使用所有服务的免费套餐资源？

Answer 1

没有。

IAM 控制可以进行哪些 API 调用，其中包括创建、列出和删除资源。

但是，AWS 免费使用套餐是一个计费概念，它会覆盖特定消耗资源数量的费用。这两个概念之间没有任何联系。

您可以限制权限，以便用户可以仅创建某些资源（例如 Amazon EC2 t2.micro 实例），但无法根据之前收取/消耗的资源进行限制。

您可以在帐户上创建计费警报，以便在消耗一定数量的资源时，或者当预测将消耗资源时接收通知。这些警报与帐户相关联，而不是与用户相关联，因此需要该用户为其自己的活动使用特定帐户。

Answer 2

一种解决方案可能是设置一个沙盒 OU（组织单位）。可以在此 OU 内创建帐户，这些帐户将受到为此 OU 设置的护栏（资源限制、配额限制等）的共同约束。

组织中的整体使用情况可能会决定是否适用免费套餐，但您至少可以限制使用情况。

保持免费套餐的一种可能方法是创建一个严格用于 AWS 入门的单独组织，并将沙箱 OU 的总使用量设置为保持免费套餐。

使用 CDK 来部署东西也是一个好主意，这样可以更轻松地破坏玩具项目，并且无需在各种服务中配置各种资源来进行清理。