EC2へのElasticIPの取り扱いを制限

どういうこと

EC2に対してElasticIPをつけて運用しますよね。

踏み台とかメールサーバ立てるとそうなるじゃないです。

その場合怖いのって割り当てようと思ってたEIPを別の運用中サーバに割り当てたりですね、もっと怖いのがEIPついてるやつに上書きしちゃうとかとか。。。

これ実際うっかりやっちゃって冷や汗かきました。もちろん光速でつけ直しましたけど。

なんとか制限できないかーと思ったんですけどElasticIPの取り外しをできなくしたりとか保護したりってできないみたいです。

（できたら教えて。少なくともGUI上からは。）

できること

じゃなにができそうかというと。

ポリシーで制限

ポリシー作成

以下でポリシー作成する

・ReleaseAddress : ElasticIPの削除

・DisassociateAddress : ElasticIPの取り外し

を

Deny

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Deny",
            "Action": [
                "ec2:ReleaseAddress",
                "ec2:DisassociateAddress"
            ],
            "Resource": "*"
        }
    ]
}

このポリシーを運用ユーザーに割り当てる