20、AWS身份与访问管理：认证与授权全解析

AWS身份与访问管理：认证与授权全解析

1. 引言

AWS资源对于企业而言至关重要，既不能让其毫无防护，也不能过度限制访问，导致管理员和客户无法正常使用。在AWS中，身份与访问管理（IAM）主要负责处理认证和授权。IAM身份（有时也称为主体）代表AWS用户或角色，角色可临时分配给应用程序、服务、用户或组。此外，身份还可以进行联合，即没有AWS账户的用户或应用程序可通过外部服务（如Kerberos、Microsoft Active Directory或LDAP）进行认证并获得临时访问权限。身份通过附加策略来控制，策略可附加到主体（基于身份的策略）或资源（基于资源的策略）。

2. IAM身份

每个新的AWS账户都有一个根用户，默认情况下，根用户对账户关联的所有服务和资源拥有完全权限。但这也使根用户成为黑客的攻击目标，因为他们只需获取根用户密码或访问密钥，就可危及整个账户。因此，AWS建议加强对根账户的保护，并将日常操作的特定权限委派给其他用户。

3. IAM策略

IAM策略是一个文档，它确定与一个或多个AWS资源相关的一个或多个操作，并决定操作对资源的允许效果（Allow或Deny）。例如，一个策略可能允许在S3中创建存储桶。IAM提供了数百个预设策略，可在IAM仪表板的策略页面查看，也可使用关键词过滤搜索，还能通过仪表板的创建策略页面或手动编写JSON格式文本创建自定义策略。

以下是一个JSON格式的AdministratorAccess策略文档示例：

{
    "Version": "2012-10-17",
    "Statement": [