Intéressant comme workflow, l'objectif est de laisser les users/soft créer des EC2 comme ils veulent et avoir les droits seulement sur les EC2 qu'ils ont créé.

Comment ça marche ? auto tagging des EC2 avec l'userid à la création couplé avec une policy qui autorise les action seulement si le tag avec l'userid est présent.

pacon

Dans le meme genre sans l'auto tagging :
http://blogs.aws.amazon.com/security/post/Tx29HCT3ABL7LP3/Resource-level-Permissions-for-EC2-Controlling-Management-Access-on-Specific-Ins

Pour un cluster Aurora donné, 3 endpoints :

• cluster endpoint : pointe toujours sur le master
• reader endpoint : pointe toujours sur un slave
• instance endpoint : permet de pointer spécifiquement une instance donnée. Ne garantit pas que cette instance restera un slave ou un master.

You can determine which DB instance in an Aurora DB cluster that a connection is connected to by checking the innodb_read_only global variable, as shown in the following example.
SHOW GLOBAL VARIABLES LIKE 'innodb_read_only';
The innodb_read_only variable will be set to ON if you are connected to an Aurora Replica and OFF if you are connected to the primary instance.

AWS, c'est un métier.

To generate a report

• :

In addition to using credential reports, you can also determine when a password or access key was last used by using these IAM APIs:
ListUsers (AWS CLI command: aws iam list-users)
GetUser (AWS CLI command: aws iam get-user)
GetAccessKeyLastUsed (AWS CLI command: aws iam get-access-key-last-used)

Bon à savoir

Premières choses à faire, best practice concernant iam. En résumé : ne pas générer d'access key pour l'utilisateur "root", créer des users avec des droits bien determinés.