7、深入了解身份与访问管理

深入了解身份与访问管理

在云计算环境中，安全地管理用户身份和访问权限至关重要。本文将详细介绍身份与访问管理（IAM）的相关概念、操作步骤以及不同的策略类型，帮助你更好地理解和运用 IAM 来保护 AWS 资源。

1. IAM 基础概念

• 权限委托 ：要委托权限，需将两个策略附加到 IAM 角色。一个策略定义要授予的权限，另一个是信任策略，定义允许授予其用户承担该角色权限的受信任账户。
• 联合身份验证 ：身份联合是一种机制，应用程序可使用外部身份提供商（IdP）来验证用户，而无需编写自定义登录代码。外部 IdP 包括 Amazon、Facebook、Google 等，或任何与 OIDC、MS AD 或支持 SAML 2.0 的 LDAP 兼容的 IdP，用于在外部 IdP 和 AWS 托管应用程序之间配置基于令牌的身份验证机制。
• 策略 ：策略是一个 JSON 格式的文档，按照 IAM 策略表示法编写，定义授予 IAM 角色的权限，也可附加到 IAM 用户和组。
• 主体 ：通常在策略中用于表示用户（IAM 用户、联合用户或承担角色的用户）、AWS 账户、AWS 服务或其他允许或拒绝访问资源的主体实体。
• 跨账户访问 ：当基于信任关系从一个账户访问另一个账户中的 AWS 资源时，称为跨账户访问。IAM 角色是授予跨账户访问权限的主要方式。

2. 创建 AWS 服务角色