Amazon ec2 如何将用户ssh限制为ec2无法访问ec2应用程序访问的s3 bucket

这里的问题是我有一个s3存储桶（交叉帐户）。我只希望部署到ec2实例的应用程序访问bucket（通过ec2实例角色）。但是我仍然希望，用户A（没有任何角色访问s3 bucket）说，通过ssh连接到实例来执行一些调试。我绝对不想让一个可以通过ssh连接到ec2的用户访问那个S3存储桶。有没有办法防止这种情况发生？

可以肯定，ec2角色适用于整个机器，因此任何具有登录权限的用户都可以使用该角色执行请求

为了避免从实例进行本地调试，您可以设置日志传送并将度量数据导出到cloudwatch日志/度量。您还可以设置AWS SSM Run命令，以允许针对实例执行特定命令/脚本。可以使用IAM策略保护CloudWatch和Run命令，以控制谁有权访问什么