11、AWS IAM 角色使用指南与实践

AWS IAM 角色使用指南与实践

1. 安全替代方案：Security Monkey

对于没有支持订阅的用户来说，可能无法使用 Trusted Advisor 的高级功能，不过有一个方便的第三方替代方案：Security Monkey。它来自最早在大型企业中采用公共云作为首选计算平台的团队之一。Security Monkey 会填充一个数据库，用于跟踪账户关键基础设施的配置更改，并在每次更改发生时运行基于规则的检查。

与 Trusted Advisor 不同，Security Monkey 是开源软件包，而 Trusted Advisor 是 SaaS 解决方案。Security Monkey 的一个显著优势是，它允许最终用户定义自定义安全检查，而 Trusted Advisor 则不具备这一功能。

2. IAM 角色的引入

假设你需要定期调整存储在 S3 存储桶中的图像大小。你使用 Boto 编写了一个脚本，该脚本会在 S3 存储桶的传入目录中查找新图像，执行调整大小操作，并将结果图像保存到已处理目录中。为了让这个脚本在 EC2 实例上运行，它需要使用一组具有读取源文件和将输出文件写入 S3 存储桶权限的 AWS 凭证。

在 2012 年 6 月之前，将 AWS 密钥分发给 EC2 实例的过程比较麻烦，主要有两种方法：
- 将密钥嵌入 AMI ：这样实例启动时就可以使用这些密钥，但更换密钥意味着要重新构建 AMI。
- 在运行时提供密钥 ：例如通过用户数据，但未加密的 AWS 密钥会在管理控制台等地方轻易可见。

为了解