5、AWS身份与访问管理：授权、认证与安全策略详解

AWS身份与访问管理：授权、认证与安全策略详解

1. 授权与认证基础

授权（访问控制）是定义对特定资源访问权限的过程。在决定是否批准请求时，会考虑主体身份、目标资源、请求环境和请求位置等因素。大多数情况下，访问控制系统在评估请求前需要知道主体身份。

认证（身份管理）是主体向目标系统证明自己身份的机制，可将合法主体与冒名者区分开来。云系统在用户认证后，可将其身份映射到预定义的已知身份集合，从而通过授权过程控制该用户的所有请求访问。

授权和认证共同提供细粒度控制，防范潜在威胁。认证确保合法主体能向访问控制系统证明身份，之后访问控制系统决定是否授权请求。

2. AWS身份与访问管理基础

AWS IAM虽不限于微服务架构，但为在AWS上实施的任何架构奠定基础。与单体应用不同，微服务使用外部通信通道，AWS IAM可拦截每个请求并根据组织的访问策略进行评估，在保护微服务架构安全方面发挥关键作用。

IAM是全球且完全托管的服务，允许云架构师将访问策略集中管理。AWS承担保护访问控制机制的责任，实现了安全工程的最佳实践。AWS IAM具有高可用性、高可扩展性，并由AWS完全管理。

例如，对于电商公司的典型微服务应用，AWS IAM为每个请求提供集中授权服务。合法通信请求会被允许，不符合IAM策略的请求将被拒绝。同时，IAM还提供认证服务，可阻止冒名者的请求。

3. AWS上的主体类型

• IAM用户 ：日常使用的用户，如员工、承包商和访客，使用个人凭证登录账户并与云基础设施交互。