拒绝访问 AWS 控制台(如果不是在 IP 中)

Question

如果用户在我们的网络或 VPN 之外，我想拒绝访问 AWS 控制台。我找到了这个策略，但我遇到了随机问题，即用户即使他们在网络中并附加了管理员访问权限，也会得到明确的拒绝。应该注意的是，我正在通过 Okta 使用基于角色的访问。

{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "DenyOutOfOffice",
"Effect": "Deny",
"Action": "*",
"Resource": "*",
"Condition": {
"NotIpAddress": {
"aws:SourceIp": [
"<insert IP>"
]
}
}
}
]
}

Answer 1

我已经解决了这个问题。这与AWS使用其内部IP和系统进行内部调用有关，由于我的策略，这自然会导致错误。目前唯一的解决方法是将使用AWS内部服务器的特定服务列入白名单。