Qu'est-ce qu'un moyen efficace d'isoler/séparer les utilisateurs AWS?

Question

J'essaie de donner un accès temporaire à la console AWS pour quelques utilisateurs (pour un temps limité), et ils ne devraient pas être en mesure d'afficher les ressources créées par les autres utilisateurs. Ce sont les méthodes possibles que je pourrais trouver:

1. Création d'un IAM utilisateur pour chaque utilisateur et l'attribution de stratégies IAM: Ceci est un processus simple, mais serait-il possible de définir la politique de telle sorte que tous les l'utilisateur est complètement isolé les uns des autres? L'utilisateur doit pouvoir créer n'importe quelle ressource, mais afficher et gérer uniquement sa ressource. Après utilisation, l'utilisateur IAM peut être supprimé pour révoquer l'accès de l'utilisateur à la console AWS.
2. Création d'un compte AWS sous le compte root Organisation: Cela garantirait l'isolement, mais la suppression d'un compte géré AWS n'est pas simple et, par conséquent cette méthode ne semble pas viable.

Quelqu'un peut-il m'aider avec une solution possible? Edit: J'essaie de créer dynamiquement des comptes/utilisateurs à la demande. (Merci de remarquer hors @JamesKn)

Answer 1

je les obtenir chacun à signer pour AWS, puis exécutez la facturation consolidée http://docs.aws.amazon.com/awsaccountbilling/latest/aboutv2/consolidated-billing.html

De cette façon, ils seraient complètement isolés, mais vous obtiendrez une facture.