如何保護對Elastic Beanstalk資源+安全建議的訪問？

Question

我正在使用Elastic Beanstalk以及用於自動創建一些環境資源（如SQS隊列）的新功能。這非常方便，但是這會遇到一個問題：如果我「終止」環境，則所有關聯的資源也會被刪除。

我覺得這很危險，儘管我是唯一一個管理這個帳戶的人，但我總是可以喝醉了（哈哈），或者在CLI中輸入錯誤的命令，當然也有人可以竊取我的帳戶。

可能是我有點偏執，但到目前爲止，我已經找到了一些策略，我想知道哪一個是最好的：

1）爲自己與只讀創建一個新的IAM用戶只有訪問權限，併爲主帳戶（主帳戶）設置雙因素身份驗證，因此如果需要創建資源，我絕對需要以更高的安全性登錄到主帳戶。

2）防止由Beanstalk創建的主EC2實例終止。如果我這樣做了，我就不會錯誤地終止Beanstalk環境。我的問題是：彈性負載平衡器的優點之一是它可以關閉不健康的實例並啓動新的實例。但是，如果一個實例被設置爲「不允許終止」會發生什麼？負載平衡器可以繞過這個並且仍然創建一個新的實例嗎？

3）兩個都做？

通常，關於此主題的最佳實踐是什麼？

感謝您的回答！

Answer 1

不幸的是，SQS隊列不支持終止保護。

在你的兩個選項中，我一定會去1），因爲2）沒有完全保護EB集羣免受刪除。

說明：

1）我建議設立一個獨立的IAM用戶爲每一天的任務，保護主賬戶的雙因素身份驗證，並用它來加速/減速新EB集羣。 2）即使使用終端保護來保護主要EC2實例，與EB環境相關的其他關鍵資源仍將終止，例如負載均衡器，自動擴展組和SNS主題。

我認爲最簡單的解決方案仍然是遵循「瞄準兩次，射擊一次」的理念，儘管IAM帳戶的策略不允許它終止實例，EB環境，刪除EB應用程序，以及在臨時精神錯亂的時刻，你也可以保護自己免受自己的傷害。

希望這有助於！