11、AWS IAM 角色与安全管理：从基础到实战

AWS IAM 角色与安全管理：从基础到实战

在 AWS 的使用过程中，安全与权限管理至关重要。对于没有支持订阅的用户来说，Trusted Advisor 的高级功能无法使用，但有一个第三方替代方案——Security Monkey。它源自大型企业中最早采用公共云作为计算平台的团队，能够将账户关键基础设施的配置更改记录到数据库中，并在每次更改发生时进行基于规则的检查。与 Trusted Advisor 不同的是，Security Monkey 允许终端用户定义自定义安全检查。

1. IAM 角色的引入

在 AWS 中，当我们需要对存储在 S3 存储桶中的图像进行定期调整大小时，会面临如何安全有效地为 EC2 实例提供 AWS 凭证的问题。在 2012 年 6 月之前，分发 AWS 密钥到 EC2 实例的过程存在诸多痛点，主要有两种方式：
- 将密钥嵌入 AMI ：替换密钥意味着需要构建新的 AMI。
- 在运行时通过用户数据提供密钥 ：未加密的 AWS 密钥在管理控制台和其他地方容易被看到。

为了解决这些问题，亚马逊引入了 IAM 角色。IAM 角色类似于用户和组，可以应用一个或多个策略。当启动实例时，分配一个预先创建的角色，AWS 会自动生成访问凭证并提供给实例，这些凭证具有角色策略指定的权限。而且，亚马逊会在实例的生命周期内定期轮换密钥，大大减少了密钥被泄露后的可用时间。

不过，如果 IAM 角色配置不当，可能会被用于提升权限。例如，一个恶意用户可以通过启动具有特定权限角色的实例，然后 SSH 进入该实例获取凭证。为了避免这种情况，可以使用 IAM 策略，在授予