View source for AWS IAM (身份与访问管理)

---

## AWS IAM (身份与访问管理) 初学者指南

=== 简介 ===

AWS IAM (Identity and Access Management，身份与访问管理) 是 Amazon Web Services (AWS) 云平台的核心安全服务。它允许您安全地控制对 AWS 资源的访问。简单来说，IAM 决定了 *谁* (身份) 可以访问 *什么* (资源)，以及 *如何* 访问 (权限)。理解 IAM 对于在 AWS 上构建安全可靠的应用程序至关重要。 就像一个金融交易系统的风控系统，IAM 可以精确控制哪些用户可以执行哪些操作，从而最大程度地降低风险。

=== IAM 的核心概念 ===

理解以下核心概念是掌握 AWS IAM 的基础：

* **主体 (Principals)**：主体是想要访问 AWS 资源的实体。主体可以是以下几种类型：
    * **AWS 账户根用户 (Root User)**：每个 AWS 账户都有一个根用户，拥有对账户中所有资源的完全访问权限。强烈建议不要使用根用户进行日常任务，而应创建 IAM 用户。
    * **IAM 用户 (IAM Users)**：IAM 用户是您在 AWS 账户中创建的个人身份。每个用户都有自己的登录凭证，并可以分配特定的权限。
    * **IAM 角色 (IAM Roles)**：IAM 角色是一种没有永久凭证的身份。它允许实体（例如，AWS 服务、应用程序或最终用户）在获得授权后承担特定的权限。 角色类似于一个可切换的身份，可以根据需要授予临时访问权限。
    * **AWS 服务 (AWS Services)**：某些 AWS 服务需要访问其他服务才能正常工作。例如，Amazon EC2 实例可能需要访问 Amazon S3 存储桶。

* **资源 (Resources)**：资源是您在 AWS 中使用的服务和对象。例如，Amazon S3 存储桶、Amazon EC2 实例、Amazon RDS 数据库等等。

* **策略 (Policies)**：策略是 JSON 文档，定义了主体拥有的权限。 策略可以附加到 IAM 用户、IAM 角色或 IAM 组。 策略可以授予或拒绝主体访问特定资源的权限。策略的构建如同金融市场的技术分析，需要精确的规则和条件。

* **权限 (Permissions)**：权限是策略中定义的特定操作，允许主体对资源执行。 权限通常由 *操作*、*资源* 和 *条件* 组成。

* **身份验证 (Authentication)**：身份验证是验证主体的身份的过程。AWS 支持多种身份验证方法，例如用户名和密码、多因素身份验证 (MFA) 和联合身份验证。

* **授权 (Authorization)**：授权是确定经过身份验证的主体是否有权访问特定资源的过程。IAM 策略用于进行授权。 授权如同成交量分析，需要综合考虑多个因素才能做出决策。

=== IAM 用户和组 ===

* **IAM 用户**：创建 IAM 用户是最佳实践，避免使用根用户。您可以为每个用户分配其需要的最小权限集，遵循最小权限原则。
    * 创建用户：使用 AWS 管理控制台或 AWS CLI 创建 IAM 用户。
    * 管理用户：可以启用或禁用用户，重置密码，以及分配权限。
    * 访问密钥：为 IAM 用户创建访问密钥 (Access Keys) 用于通过编程方式访问 AWS 服务。 密钥管理非常重要，如同保护交易密码一样。

* **IAM 组**：IAM 组用于将多个 IAM 用户组合在一起，并向他们授予相同的权限。这简化了权限管理。
    * 创建组：使用 AWS 管理控制台或 AWS CLI 创建 IAM 组。
    * 添加用户：将 IAM 用户添加到 IAM 组。
    * 策略附加：将策略附加到 IAM 组，组中的所有用户都将继承该策略的权限。

=== IAM 角色 ===

IAM 角色是 AWS IAM 中一个强大的功能，它允许您授予实体（例如，AWS 服务、应用程序或最终用户）在获得授权后承担特定权限。

* **使用场景**：
    * **授予 AWS 服务访问权限**：例如，允许 Amazon EC2 实例访问 Amazon S3 存储桶。
    * **跨账户访问**：允许一个 AWS 账户中的用户访问另一个 AWS 账户中的资源。
    * **联合身份验证**：允许外部用户（例如，您的客户）使用他们的现有凭证访问您的 AWS 资源。
* **可信实体 (Trusted Entities)**：角色定义了哪些实体可以承担该角色。
* **权限策略**：角色定义了在承担角色后，实体可以执行哪些操作。
* **临时安全凭证**：当实体承担角色时，AWS 会颁发临时安全凭证，这些凭证在一段时间后过期。

=== IAM 策略详解 ===

IAM 策略是定义主体权限的关键。 策略使用 JSON 格式编写，并包含以下元素：

* **Version**：策略的语义版本。
* **Statement**：一个或多个语句的数组，每个语句定义一个权限。
* **Effect**：指定语句是允许 (Allow) 还是拒绝 (Deny) 访问。
* **Action**：指定允许或拒绝执行的操作。例如，`s3:GetObject` 允许从 Amazon S3 存储桶获取对象。
* **Resource**：指定操作适用的资源。例如，`arn:aws:s3:::my-bucket/*` 指定所有对象在 `my-bucket` 存储桶中的资源。
* **Condition** (可选)：指定执行操作的条件。例如，仅允许在特定日期或特定 IP 地址范围内执行操作。

{| class="wikitable"
|+ IAM 策略示例
|-
| 元素 || 值
|-
| Version || "2012-10-17"
|-
| Statement || [
  {
    "Effect": "Allow",
    "Action": "s3:GetObject",
    "Resource": "arn:aws:s3:::my-bucket/*"
  }
]
|}

=== 最佳实践 ===

* **最小权限原则 (Principle of Least Privilege)**：只授予主体完成其任务所需的最小权限。 这可以减少潜在的安全风险。
* **使用 IAM 组**：将用户组织成 IAM 组，并向组授予权限，而不是直接向单个用户授予权限。
* **启用 MFA**：为所有 IAM 用户启用多因素身份验证 (MFA)，以增加安全性。
* **定期审查 IAM 策略**：定期审查 IAM 策略，以确保它们仍然有效和安全。
* **监控 IAM 活动**：使用 AWS CloudTrail 监控 IAM 活动，以检测可疑行为。
* **避免使用根用户**：永远不要使用根用户进行日常任务。
* **使用条件策略**：使用条件策略限制访问资源的权限，例如，仅允许在特定 IP 地址范围内访问。
* **利用 AWS Managed Policies**：AWS 提供了一系列预定义的托管策略，可以简化权限管理。
* **实施密码策略**：强制执行强密码策略，例如，要求密码包含大小写字母、数字和符号。
* **角色轮换**：定期轮换 IAM 角色，以减少潜在的安全风险。 这类似于定期更换交易策略。
* **IAM Access Analyzer**：使用 IAM Access Analyzer 识别不必要的权限，并提供修复建议。

=== 与其他 AWS 服务的集成 ===

IAM 与其他 AWS 服务紧密集成，例如：

* **Amazon S3**：使用 IAM 策略控制对 Amazon S3 存储桶和对象的访问。
* **Amazon EC2**：使用 IAM 角色授予 Amazon EC2 实例访问其他 AWS 服务的权限。
* **Amazon RDS**：使用 IAM 策略控制对 Amazon RDS 数据库的访问。
* **AWS Lambda**：使用 IAM 角色授予 AWS Lambda 函数访问其他 AWS 服务的权限。
* **AWS CloudTrail**：使用 IAM 策略控制对 AWS CloudTrail 日志的访问。
* **AWS Config**：使用 IAM 策略控制对 AWS Config 规则的访问。
* **Amazon VPC**：使用 IAM 策略控制对 Amazon Virtual Private Cloud (VPC) 资源的访问。

=== IAM 和安全性 ===

IAM 是 AWS 安全体系结构的关键组成部分。通过正确配置 IAM，您可以：

* **防止未经授权的访问**：限制对 AWS 资源的访问，只允许授权用户和应用程序访问。
* **保护敏感数据**：防止敏感数据被泄露或篡改。
* **满足合规性要求**：满足各种合规性要求，例如，HIPAA 和 PCI DSS。
* **减少安全风险**：降低潜在的安全风险，例如，数据泄露和恶意攻击。

=== 故障排除 ===

* **权限不足错误**：如果用户尝试执行操作但收到权限不足错误，请检查 IAM 策略，确保用户拥有执行该操作的权限。
* **身份验证问题**：如果用户无法登录 AWS 管理控制台，请检查其凭证是否正确，并确保 MFA 已正确配置。
* **角色承担问题**：如果实体无法承担 IAM 角色，请检查角色信任策略，确保实体被信任。

=== 学习资源 ===

* [[AWS IAM 文档]]
* [[AWS IAM 最佳实践]]
* [[AWS Security Hub]]
* [[AWS CloudTrail]]
* [[AWS Identity and Access Management FAQ]]

=== 总结 ===

AWS IAM 是一个强大而灵活的安全服务，它允许您安全地控制对 AWS 资源的访问。 通过理解 IAM 的核心概念、最佳实践和与其他 AWS 服务的集成，您可以构建安全可靠的应用程序，并保护您的 AWS 环境。 类似于一个成功的二元期权交易员，掌握 IAM 需要不断的学习和实践，才能在云安全领域取得成功。

[[Next Steps: AWS CloudTrail]]
[[Related Article: Amazon S3 Security]]
[[Related Article: AWS Key Management Service (KMS)]]
[[Related Article: AWS Config]]
[[Related Article: AWS Security Hub]]
[[Related Article: Multi-Factor Authentication (MFA)]]
[[Related Article: Least Privilege Principle]]
[[Related Article: IAM Roles vs. IAM Users]]
[[Related Article: IAM Policies and JSON Syntax]]
[[Related Article: AWS Trusted Advisor]]
[[Related Article: AWS Organizations]]
[[Related Article: AWS Single Sign-On (SSO)]]
[[Related Article: Technical Analysis in Cloud Security]]
[[Related Article: Risk Management in AWS]]
[[Related Article: Volume Analysis of IAM Logs]]
[[Related Article: Security Information and Event Management (SIEM)]]
[[Related Article: Incident Response in AWS]]
[[Related Article: Cloud Security Posture Management (CSPM)]]
[[Related Article: Threat Detection in AWS]]
[[Related Article: AWS Artifact]]
[[Related Article: Data Encryption in AWS]]

[[Category:Amazon Web Services
Category:身份与访问管理
Category:云计算安全

== 立即开始交易 ==
[https://affiliate.iqbroker.com/redir/?aff=1085&instrument=options_WIKI 注册 IQ Option] （最低存款 $10）
[http://redir.forex.pm/pocketo 开设 Pocket Option 账户] （最低存款 $5）
=== 加入我们的社区 ===
订阅我们的 Telegram 频道 [https://t.me/strategybin @strategybin] 获取：
✓ 每日交易信号
✓ 独家策略分析
✓ 市场趋势警报
✓ 新手教育资源
[[Category:亚马逊云服务 (AWS)]]