É possível restringir usuários / contas da AWS a uma região específica?

Executamos vários serviços da AWS na região eu-west-1. Infelizmente, parece que muitos de nossos desenvolvedores e outros funcionários que precisam criar recursos temporários esquecem esse aspecto da AWS e não selecionam essa região antes de iniciar instâncias do EC2, criar buckets S3, etc. Como resultado, eles geralmente terminam em a região us-east-1, pois parece ser o padrão que a AWS sempre usa.

Existe alguma maneira pelo IAM (ou de alguma outra maneira) de restringir as contas de usuário para iniciar / criar apenas coisas em uma região específica?

Infelizmente você não pode fazer isso globalmente. No entanto, para cada produto da AWS que oferece suporte, normalmente você pode limitar o acesso a uma determinada região.

Por exemplo, para o EC2, você pode fazer o seguinte:

{
  "Statement":[{
    "Effect":"allow",
    "Action":"RunInstances",
    "Resource":"*",
    "Condition":{
      "StringEquals":{
        "ec2:Region":"us-west-1"
        }
      }
    }
  ]
}

Obviamente, você também precisará emitir uma denyregra, quando apropriado.

Aqui está a documentação para o acima.

Use algo assim. Este exemplo restringe o acesso a duas regiões da AWS. Modifique conforme necessário.

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Deny",
    "Action": "*",
    "Resource": "*",
    "Condition": {
      "StringNotEquals": {
        "aws:RequestedRegion": [
          "eu-central-1",
          "eu-west-1"
        ]
      }
    }
  }]
}

Desde 25 de abril de 2018, a AWS possui um recurso global aws: RequestedRegion que você pode usar para limitar as regiões para as quais um usuário pode enviar solicitações. Isso é independente do serviço ser regional ou não, portanto você pode aplicá-lo a todos os serviços.

Blog de segurança da AWS

Infelizmente, você não pode usar isso na Política de Controle de Serviços de uma organização para aplicá-la a uma conta globalmente, e deve anexar a política a cada entidade principal e auditar se é assim, se desejar bloquear uma conta em determinadas regiões.

Resposta aceita nesta discussão deu Syntax Error on Policy. Abaixo trabalhou para mim:

{
"Statement": [
    {
        "Sid": "Stmt1375943389569",
        "Action": "ec2:*",
        "Effect": "Allow",
        "Resource": "*",
        "Condition": {
            "StringEquals": {
                "ec2:Region": "eu-central-1"
            }
        }
    }
]

}

Se você solicitar apenas ações do EC2, sim, poderá limitá-lo conforme mencionado em outras respostas. Se houver outros serviços, não tenho certeza de que você possa fazê-lo ... por exemplo, o AWS Lambda parece não ter um que lambda:regionvocê pode adicionar a uma condição.

Nas Perguntas frequentes sobre o AWS IAM :

P: Os usuários podem ser definidos regionalmente? Inicialmente não. Os usuários são entidades globais, como uma conta da AWS atualmente. Não é necessário especificar nenhuma região ao definir permissões de usuário. os usuários podem usar os serviços da AWS em qualquer região geográfica.

Achei que isso funcionava melhor (permite iniciar / parar / encerrar / etc.) Para conceder acesso completo ao EC2 para um usuário em apenas uma região - todas as outras regiões mostram erros durante qualquer tentativa de acesso.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": "*",
            "Effect": "Allow",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "ec2:Region": "us-east-1"
                }
            }
        }
    ]
}

Este funciona para mim, tentei criar uma política com o json mencionado como resposta aceita, mas não funciona para mim.

{
    "Version": "2012-10-17",
    "Statement": [{
        "Action": "ec2:*",
        "Effect": "Allow",
        "Resource": "*",
        "Condition": {
            "StringEquals": {
                "ec2:Region": [
                    "us-east-1"
                ]
            }
        }
    }]
}

Essa é a solução atual - usando "eu-west-1":

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect"    : "Allow",
            "Action"    : "*",
            "Resource"  : "*",
            "Condition": 
            {
                "StringEquals": {
                    "aws:RequestedRegion": "eu-west-1"
                }
            }
        }
    ]
}