如何用IAM策略限制对EC2实例标签的操作

【以下的回答经过翻译处理】 您可以为IAM用户添加一个IAM策略，允许ec2:CreateTags并拒绝ec2:DeleteTags。加上ec2:DescribeTags，目前这些是EC2服务中仅有的与标签相关的权限。

请注意，对于现有标签，在更改或更新标签键时，ec2:DeleteTags和ec2:CreateTags操作都将执行。如果您更新或更改标签值，则将执行ec2:CreateTags操作。

查看此链接，其中提供了使用标签的示例：https://aws.amazon.com/premiumsupport/knowledge-center/iam-ec2-resource-tags/。