20、AWS身份与访问管理：认证与授权全解析

AWS身份与访问管理：认证与授权全解析

1. 引言

AWS资源对企业而言至关重要，既不能让其毫无防护，也不能过度限制访问，导致管理员和客户无法正常使用。在AWS上，认证和授权主要通过身份与访问管理（IAM）来处理。

2. IAM身份

• 根用户 ：每个新的AWS账户都有一个根用户，默认情况下，根用户对账户关联的所有服务和资源拥有完全权限。但这也使根用户成为黑客的攻击目标，因为他们只需获取根用户密码或访问密钥，就能危及整个账户。为降低风险，建议加强对根用户账户的保护，并将日常操作的特定权限委派给其他用户。
• 其他身份 ：除根用户外，身份还可以是用户或角色。角色是可以临时分配给应用程序、服务、用户或组的身份。身份还可以进行联合，即没有AWS账户的用户或应用程序可以使用外部服务（如Kerberos、Microsoft Active Directory或轻量级目录访问协议（LDAP））进行身份验证，并获得对AWS资源的临时访问权限。

3. IAM策略

• 策略定义 ：IAM策略是一个文档，它确定与一个或多个AWS资源相关的一个或多个操作，并决定该操作对资源允许的效果，效果值可以是Allow（允许）或Deny（拒绝）。
• 策略示例 ：以下是一个JSON格式的AdministratorAccess策略文档示例，它允许持有该策略的身份对账户中的任何资源执行任何操作。