7 身份与访问管理（IAM）与角色管理

在上一篇教程中，我们探讨了如何使用 AWS Elastic Beanstalk 托管应用程序。在本篇教程中，我们将深入了解 AWS 的身份与访问管理（IAM）及其角色管理。在云服务环境中，确保安全性是重中之重，因此合理配置权限和访问控制将有助于保护我们的资源。

什么是 IAM？

AWS 的身份和访问管理（IAM）是一个 Web 服务，允许您安全地控制对 AWS 服务和资源的访问。通过 IAM，您可以创建和管理 用户、组、角色 和 权限，从而控制谁可以访问您的 AWS 资源以及如何访问。

主要概念

1. 用户：代表一个人或应用程序的身份，用户可以被分配一定的权限。
2. 组：用户的集合。组可以被赋予权限，所有在该组内的用户都将继承这些权限。
3. 角色：是一组权限，可以被 AWS 服务、用户或程序临时使用，比用户更灵活。
4. 策略：以 JSON 格式定义的权限，描述哪些操作可以对哪些资源执行。

IAM 用户和组的管理

创建 IAM 用户与组

在 AWS 控制台中，您可以轻松创建 IAM 用户和组。以下是创建用户和组的步骤：

1. 登录到 AWS 管理控制台。
2. 选择 IAM。
3. 在左侧导航栏选择 用户，然后点击 添加用户。
4. 输入用户名称并设置访问类型（例如：访问密钥）。
5. 创建用户后，可以选择将其添加到一个已存在的组或者创建新组。
6. 为组分配权限策略。

示例：通过 AWS CLI 创建用户和组

下面是使用 AWS CLI 创建用户和组的示例代码：

# 创建一个新组
aws iam create-group --group-name Developers

# 创建用户
aws iam create-user --user-name Alice

# 将用户添加到组
aws iam add-user-to-group --group-name Developers --user-name Alice

# 为组分配权限策略
aws iam attach-group-policy --group-name Developers --policy-arn arn:aws:iam::aws:policy/AdministratorAccess

IAM 角色管理

角色的定义与使用

IAM 角色是 AWS 中一种非常灵活的概念，它不与特定的用户或组绑定，而是可以由 AWS 服务、用户或IAM身份临时使用。通过角色，您可以向 EC2 实例、Lambda 函数等授予特定的权限。

创建角色

您可以使用 AWS 管理控制台或 CLI 创建角色。创建角色的步骤如下：

1. 登录到 AWS 管理控制台。
2. 选择 IAM，然后选择 角色。
3. 点击 创建角色。
4. 选择 AWS 服务作为信任实体，并选择服务（例如：EC2）。
5. 为角色分配权限策略。
6. 完成角色创建。

示例：为 EC2 实例配置 IAM 角色

您可能希望您的 EC2 实例能够访问 S3 存储桶。您可以通过以下步骤实现：

1. 创建一个角色并赋予访问 S3 的权限。
2. 在创建 EC2 实例时，选择该角色。

下面是使用 AWS CLI 创建和附加角色的代码示例：

# 创建 S3 访问角色
aws iam create-role --role-name S3AccessRole --assume-role-policy-document file://trust-policy.json

# 该 trust-policy.json 应包含以下内容
# {
#   "Version": "2012-10-17",
#   "Statement": [
#     {
#       "Effect": "Allow",
#       "Principal": {
#         "Service": "ec2.amazonaws.com"
#       },
#       "Action": "sts:AssumeRole"
#     }
#   ]
# }

# 附加 S3 权限策略
aws iam attach-role-policy --role-name S3AccessRole --policy-arn arn:aws:iam::aws:policy/AmazonS3ReadOnlyAccess

# 启动 EC2 实例，并分配该角色
aws ec2 run-instances --image-id ami-abcde123 --instance-type t2.micro --iam-instance-profile Name=S3AccessRole

最佳实践

1. 最小权限原则：只为用户和角色分配执行其工作所需的最低权限。
2. 定期审计：定期检查用户和角色的有效性和权限使用情况。
3. 使用 MFA：为 IAM 用户启用多因素身份验证（MFA）增强账户安全性。

小结

在这篇教程中，我们介绍了 AWS 的身份与访问管理（IAM）以及如何创建和管理用户、组和角色。接下来，我们将讨论如何设置安全策略与权限，以确保我们所配置的 IAM 资源的安全性和高效性。在实施 IAM 过程中，如果有任何疑问或需要更多指导，请参考 AWS 官方文档获取更多信息。