5、AWS IAM 访问控制策略详解

AWS IAM 访问控制策略详解

1. AWS IAM 访问控制策略概述

在 AWS IAM 中，有两种实现访问控制策略的方式：
- 基于主体的策略（Principal - Based Policies） ：通过限制每个主体在云系统中可以执行的操作来限制访问。主体可以是账户内的用户、组或角色，被访问的资源可以在同一账户或不同账户中。
- 基于资源的策略（Resource - Based Policies） ：根据请求执行操作的主体来限制资源的操作。这些策略应用于特定的受支持资源，并且是内联的，不局限于 AWS 账户。

IAM 策略可以在 AWS 管理控制台的“身份和访问管理”选项卡中的“策略”选项卡中找到。IAM 策略独立于应用它们的主体或资源存在，并且可以应用于多个主体以实现重用。

2. 最小权限原则（PoLP）

2.1 “需要知道”原则

“需要知道”（Need to know）是应用最小权限原则（PoLP）的第一步。在复杂环境中，安全架构师会创建组织中所有主体的列表，并确定每个主体需要访问哪些资源。然后使用该列表来确定将哪些策略应用于每个主体或资源。

2.2 PoLP 的定义

PoLP 最早由美国计算机协会在 1958 年提出，即“每个程序和系统的每个特权用户都应该使用完成工作所需的最少权限进行操作”。

2.3 PoLP 的作用

PoLP 有助于确保系统某一区域的漏洞不会影响其他区域。策略应根据 PoLP 进行分配，即主体应被分配最严格的策略，同时