AWS Bits: Neues von AWS Billing & Cost Management

Kurz und bündig: Die AWS Billing und Cost Management Policies ändern sich! 

In unseren aktuellen AWS Bits klären wir auf, welche Änderungen sich ergeben, was es zu tun gilt (und welche Möglichkeiten sich eröffnen), damit die eigenen IAM-Policies ab dem 06. Juli 2023 noch funktionieren.

Änderungen in AWS Billing & Cost Management

Kurz – und diesmal schmerzlos – gibt es hier ein paar weiterführende Links zu Änderungen in den verschiedenen Bereichen für alle, die sich etwas tiefer mit der Materie beschäftigen möchten:

Eingestellte Service-Präfixe und Actions

• aws-portal
• purchase-orders

Geänderte Service-Präfixe und Actions

• billing
• account
• cur
• purchase-orders
• tax

Neue Services-Präfixe und Actions

• consolidatedbilling
• freetier
• invoicing
• payments

Maßnahmen

Die AWS Managed Policies werden von AWS selbst angepasst.

Bereits heute sind die neuen Servicepräfixe und Actions verwendbar; sie haben allerdings noch keinen Effekt. Dadurch ergibt sich ein Migrationsaufwand, der bereits umgesetzt werden kann. Wie das aussehen kann, zeige ich euch im Folgenden.

Alte Service-Präfixe und Actions (aka: vorher)

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": " VisualEditor0 ",
            "Effect": "Allow",
            "Action": "aws-portal:ViewBilling",
            "Resource": "*"
        }
    ]
}

Neue Service-Präfixe und Actions (aka: Nachher)

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ThesePermissionsWillHaveNoEffectTillEndOfMigration",
            "Effect": "Allow",
            "Action": [
                "ce:Get*",
                "ce:Describe*",
                "ce:List*",
                "account:GetAccountInformation",
                "billing:Get*",
                "payments:List*",
                "payments:Get*",
                "tax:List*",
                "tax:Get*",
                "consolidatedbilling:Get*",
                "consolidatedbilling:List*",
                "invoicing:List*",
                "invoicing:Get*",
                "cur:Get*",
                "cur:Validate*",
                "freetier:Get*"
            ],
            "Resource": "*"
        },
        {
            "Sid": "ThisPermissionWillContinueProvidingAccessAsNormal",
            "Effect": "Allow",
            "Action": "aws-portal:ViewBilling",
            "Resource": "*"
        }
    ]
}

Betroffene Custom Policies lassen sich mithilfe der Affected Policies Console leicht identifizieren, allerdings werden dabei keine Service Control Policies des jeweiligen Accounts berücksichtigt.

Selbst Hand anlegen ist daher leider nicht immer ausgeschlossen.

Fazit

AWS Policies lassen sich nicht immer leicht anpassen … Weitere Informationen zu Policies und deren Anpassung sind hier zu finden.

Auch das Identifizieren von Custom Policies mit veralteten Servicepräfixen ist schwierig. In diesem Zusammenhang verweise ich jedoch noch einmal auf die o. g. Affected Policies Console.

AWS Bits

---