Me gustaría cambiar programáticamente el CNAME de un conjunto de registros dentro de una zona alojada en Amazon Route 53, pero me gustaría restringir el acceso del usuario SOLO a ese conjunto de registros. Por lo que he visto en la documentación, IAM permite especificar la operación solo en función de "zona alojada" o "cambios". Esto significa que mi usuario necesita tener poder sobre TODOS mis registros establecidos para cambiar uno solo.
Las consecuencias de un error en el código en un caso como este son más que catastróficas. Si las comprobaciones en el nombre de la zona alojada son incorrectas, por alguna razón, podría aplicar los cambios por error a más de un conjunto de registros (imagine que muchos Conjuntos de registros señalan ahora en la misma caja / infraestructura).
Mi pregunta no se trata de no cometer errores en el código, sino de crear un usuario para proteger el sistema de tales posibilidades. Hay una manera de restringir el acceso (o una solución alternativa) para permitir que un nuevo usuario de IAM acceda a uno / a un conjunto limitado de zonas alojadas únicamente.
En el nivel IAM, no programáticamente.
Gracias.