4、AWS 身份与访问管理全解析

AWS 身份与访问管理全解析

1. AWS 服务架构基础

亚马逊采用地理区域系统为终端用户提供基于云的服务。并非所有的 AWS 服务都在每个区域可用。一个 AWS 区域是世界上提供云服务的物理位置，每个区域又被划分为多个可用区，每个可用区由一个或多个数据中心组成。边缘位置则是 CloudFront 的内容分发端点，Amazon CloudFront 是一个安全的内容分发服务，它与 Amazon 的 S3 集成，允许在靠近消费点的地方缓存常用的媒体文件。我们可以通过 AWS 管理控制台、命令行界面、特定平台的开发人员 SDK 以及一组 RESTful Web 服务来访问 AWS 服务。

2. IAM 基础概念

2.1 根账户

当注册使用 AWS 时，需要提供电子邮件地址和密码，成功注册后会创建一个根身份。根账户对 AWS 账户中的所有资源拥有无限制的访问权限，包括计费和更改密码的能力。但亚马逊建议不要将根账户用于日常访问，也不要与任何人共享根账户凭据。为了增加安全性，应该在根账户上启用多因素身份验证（MFA）。对于日常使用，建议使用 IAM 创建单独的用户，并使用组和策略为这些用户设置适当的访问级别。

2.2 用户

IAM 用户对应于组织中的用户或应用程序。每个 IAM 用户都有专用的登录链接、密码和访问密钥，但 IAM 用户不是单独的 AWS 账户，而是存在于根 AWS 账户内。IAM 用户可以使用专用登录链接和密码登录 AWS 管理控制台，也可以使用一组访问密钥以编程方式访问 AWS 服务。由于 IAM 用户可以拥有自己的访问密钥，因此可以为需要以编程方式访问 AWS 的应用程序创建 IAM 用户。亚马逊建