BAStriver的博客

主要对迁移EC2的凭证、设计IAM密钥、自动化获取临时凭证这几个方面的测试做一下总结。

这个图是我引用自AWS官方文档。包括了几乎所有AWS策略相关，比如组织 SCP、基于资源的策略、IAM 权限边界、会话策略以及基于身份的策略。

将S3存储桶的访问权限授予属于不同aws帐户的委托人，在很多组织的AWS架构中非常常见。我们知道，创建的S3存储桶默认情况下是私有的，任何存储桶拥有者之外的账户都不能访问存储桶。在这种情况下，假设我们有两个aws账户bas和bas-developer，就需要使用存储桶策略来达成跨账户进行S3存储桶访问，也就是说bas创建存储桶策略，允许bas-developer访问存储桶。............

1. 这篇文章主要是想记录一下如何通过token本地访问、测试S3而不是直接使用IAM User的Access keys。简而言之就是通过StsClient assumeRole获取临时的credentials然后生成S3Client。详细的IAM, STS相关的官网文档可以参考这里。2. 第一步先在这里创建一个IAM User。1) 输入UserName，并且编程接口，然后下一步直接Next不赋予权限，Tag可以忽略。2) Review界面如图：3. 然后创建IAM Role.

1. 用过Aws的都知道，上面的各种服务都是有严格的权限控制的，即使是同一账号也会有不同的角色，类似于IAM 用户。对于IAM角色可以参考：IAM角色。但是要注意，一次只有一组权限处于活动状态。在担任某个角色时，将临时放弃以前的用户或角色权限并使用为该角色分配的权限。2. 假设现在有这样一个需求，我们的应用程序中使用了javav2的s3客户端，但部署的服务器上的默认角色并没有访问某个buck...