Amazon web services 如何保护对弹性豆茎资源的访问+；安全建议？

我正在使用ElasticBeanstalk以及自动创建一些环境资源（如SQS队列）的新特性。这确实很方便，但是有一个问题：如果我“终止”环境，那么所有相关的资源也将被删除

我发现这真的很危险，虽然我是唯一一个管理这个帐户的人，但我总是会喝醉（哈哈），或者，在CLI中键入错误的命令，当然，有人可能会窃取我的帐户

也许我有点偏执，但到目前为止我已经找到了一些策略，我想知道哪一个是最好的：

1） 为我自己创建一个具有只读访问权限的新IAM用户，并为主帐户（master）设置双因素身份验证，这样，如果我需要创建资源，我绝对需要以更好的安全性登录到master帐户

2） 阻止从Beanstalk创建的主EC2实例终止。如果我这样做，我就不能再错误地终止Beanstalk环境了。我的问题是：弹性负载平衡器的优点之一是它可以关闭不健康的实例并启动新实例。但是，如果将一个实例设置为“不允许终止”，会发生什么情况？负载平衡器是否可以绕过这一点，仍然创建一个新实例

3） 两者都做吗

通常，关于这个主题的最佳实践是什么

---

谢谢你的回答

不幸的是，SQS队列不支持终止保护

在您的两个选项中，我肯定会选择1）因为2）不能完全保护EB集群不被删除

说明：

1） 我建议为每天的任务设置一个单独的IAM用户，并使用双因素身份验证来保护主帐户，并使用双因素身份验证来启动/关闭新的EB群集

2） 即使使用终止保护保护主EC2实例，与EB环境相关的其他关键资源（如负载平衡器、自动扩展组和SNS主题）仍将终止

我认为最简单的解决方案仍然是遵循“瞄准两次，射击一次”的理念，尽管IAM帐户的策略不允许其终止实例、EB环境、删除EB应用程序等，这将是您在暂时精神错乱时对自己采取的防火措施

---

希望这有帮助

您是在实例创建期间使用

.ebextensions

来执行此操作，还是使用带有

eb

或类似功能的自定义配置文件？另外，您能否概述一下在终止环境时以及如果终止环境，您希望保留哪些正在创建的资源？是的，我正在使用.ebextensions创建一个SQS队列（当前）。我还使用由Beanstalk自动创建的RDS（但是，如果Beanstalk终止，可以选择不删除关联的RDS资源，但在.ebextensions中指定的资源没有此类选项）。您好，谢谢，这非常有帮助。我已经用这个策略完成了以下用户组，所以我不能终止或删除任何内容：你觉得它好看吗？我正在尝试，我喜欢它。我需要登录到root用户以最初创建Beanstalk环境，然后我可以使用IAM帐户进行大多数管理，除了终止/删除所有内容。听起来很理智。