¿Hay alguna manera de restringir la política de IAM para una instancia EC2 s.t. solo puede ejecutar una breve lista de Documentos. Intenté restringir el acceso a ssm: GetDocument de esta manera:

{
  "Version": "2012-10-17",
  "Statement": [
    {
        "Effect": "Allow",
        "Action": [
            "ssm:GetDocument"
        ],
        "Resource": [
            "arn:aws:ssm:ap-southeast-2:*:document/MyCommand"
        ]
    }
 ]}

Pero puedo ejecutar cualquier comando en la instancia, incluido el documento AWS-RunPowershellScript.

Este enlace muestra cómo se puede restringir a los usuarios con respecto a ssm: sendCommand:http://docs.aws.amazon.com/AWSEC2/latest/UserGuide/delegate-commands.html