适用于 Amazon EC2 的 Identity and Access Management - Amazon Virtual Private Cloud
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 Amazon Web Services 服务入门

适用于 Amazon EC2 的 Identity and Access Management

Amazon Identity and Access Management (IAM) 是一个Amazon服务,可以帮助管理员安全地控制对Amazon资源的访问。IAM 管理员控制谁可以通过身份验证(登录)和授权(具有权限)使用 Amazon VPC 资源。IAM 是一个可以免费使用的Amazon服务。

Audience

您使用 Amazon Identity and Access Management (IAM) 的方式有所不同,具体取决于您在 Amazon VPC 中完成的工作。

服务用户 – 如果您使用 Amazon VPC 服务来完成工作,则管理员会为您提供所需的凭证和权限。随着您使用更多 Amazon VPC 功能来完成工作,您可能需要额外权限。了解如何管理访问权限可帮助您向管理员请求适合的权限。如果您无法访问 Amazon VPC 中的功能,请参阅Amazon VPC 身份和访问疑难解答

服务管理员 – 如果您在公司负责管理 Amazon VPC 资源,您可能对 Amazon VPC 具有完全访问权限。您有责任确定您的员工应访问哪些 Amazon VPC 功能和资源。您向 IAM 管理员提交请求以更改服务用户的权限。请查看该页面上的信息以了解 IAM 的基本概念。要了解有关您的公司如何将 IAM 与 Amazon VPC 搭配使用的更多信息,请参阅Amazon VPC 如何与 IAM 配合使用

IAM 管理员 – 如果您是 IAM 管理员,您可能希望了解如何编写策略以管理对 Amazon VPC 的访问的详细信息。要查看示例策略,请参阅 Amazon VPC 策略示例

使用身份进行身份验证

身份验证是您使用身份凭证登录Amazon的方法。有关使用 Amazon Web Services Management Console登录的更多信息,请参阅 IAM 用户指南中的以 Amazon Web Services Management Console IAM 用户或根用户身份登录

您必须作为Amazon账户根用户、IAM 用户或代入 IAM 角色以进行身份验证(登录到Amazon)。您还可以使用公司的单一登录身份验证方法,甚至使用 Google 或 Facebook 登录。在这些情况下,您的管理员以前使用 IAM 角色设置了联合身份验证。在您使用来自其他公司的凭证访问Amazon时,您间接地代入了角色。

要直接登录到Amazon Web Services Management Console,请使用您的密码和根用户电子邮件地址或 IAM 用户名。您可以使用根用户或 IAM 用户访问密钥以编程方式访问Amazon。Amazon提供了开发工具包和命令行工具,可使用您的凭证对您的请求进行加密签名。如果您不使用Amazon工具,则必须自行对请求签名。使用签名版本 4(用于对入站 API 请求进行验证的协议)完成此操作。有关验证请求的更多信息,请参阅 Amazon一般参考中的签名版本 4 签名流程

无论使用何种身份验证方法,您可能还需要提供其他安全信息。例如,Amazon建议您使用多重身份验证 (MFA) 来提高账户的安全性。要了解更多信息,请参阅 IAM 用户指南中的在 Amazon中使用多重验证 (MFA)

Amazon 账户根用户

当您首次创建Amazon账户时,最初使用的是一个对账户中所有Amazon服务和资源有完全访问权限的单点登录身份。此身份称为Amazon账户根用户,使用您创建账户时所用的电子邮件地址和密码登录,即可获得该身份。强烈建议您不使用根用户执行日常任务,即使是管理任务。相反,请遵循仅使用根用户创建您的第一个 IAM 用户的最佳实践。然后请妥善保存根用户凭证,仅用它们执行少数账户和服务管理任务。

IAM 用户和组

IAM 用户是Amazon账户内对某个人员或应用程序具有特定权限的一个身份。IAM 用户可能具有长期凭证,例如用户名和密码或一组访问密钥。要了解如何生成访问密钥,请参阅 IAM 用户指南 中的管理 IAM 用户的访问密钥。为 IAM 用户生成访问密钥时,请确保查看并安全保存密钥对。您以后无法找回秘密访问密钥,而是必须生成新的访问密钥对。

IAM 组 是一个指定一组 IAM 用户的身份。您不能使用组的身份登录。您可以使用组来一次性为多个用户指定权限。如果有大量用户,使用组可以更轻松地管理用户权限。例如,您可能具有一个名为 IAMAdmins 的组,并为该组授予权限以管理 IAM 资源。

用户与角色不同。用户唯一地与某个人员或应用程序关联,而角色旨在让需要它的任何人代入。用户具有永久的长期凭证,而角色提供临时凭证。要了解更多信息,请参阅 IAM 用户指南中的何时创建 IAM 用户(而不是角色)

IAM 角色

IAM 角色是Amazon账户中具有特定权限的实体。它类似于 IAM 用户,但与特定人员不关联。您可以通过切换角色,在Amazon Web Services Management Console中暂时代入 IAM 角色。您可以调用 Amazon CLI 或 Amazon API 操作或使用自定义 URL 以担任角色。有关使用角色的方法的更多信息,请参阅 IAM 用户指南 中的使用 IAM 角色

具有临时凭证的 IAM 角色在以下情况下很有用:

  • 临时 IAM 用户权限 – IAM 用户可以代入 IAM 角色,以暂时获得不同的权限以执行特定的任务。

  • 联合身份用户访问 – 您可以不创建 IAM 用户,而是使用来自 Amazon Directory Service、您的企业用户目录或 Web 身份提供商的现有身份。这些用户被称为联合身份用户。Amazon在通过身份提供商请求访问权限时,将为联合身份用户分配角色。有关联合身份用户的更多信息,请参阅 IAM 用户指南 中的联合身份用户和角色

  • 跨账户访问 – 您可以使用 IAM 角色以允许不同账户中的某个人(可信委托人)访问您的账户中的资源。角色是授予跨账户访问权限的主要方式。但是,对于某些Amazon服务,您可以将策略直接附加到资源(而不是使用角色作为代理)。要了解用于跨账户访问的角色和基于资源的策略之间的差别,请参阅 IAM 用户指南 中的 IAM 角色与基于资源的策略有何不同

  • 跨服务访问 – 某些Amazon服务使用其他Amazon服务中的功能。例如,当您在某个服务中进行调用时,该服务通常会在 Amazon EC2 中运行应用程序或在 Amazon S3 中存储对象。服务可能会使用发出调用的委托人的权限、使用服务角色或使用服务相关角色来执行此操作。

    • 委托人权限 – 当您使用 IAM 用户或角色在Amazon中执行操作时,您将被视为委托人。策略向委托人授予权限。使用某些服务时,您可能会执行一个操作,此操作然后在不同服务中触发另一个操作。在这种情况下,您必须具有执行这两个操作的权限。要查看某个操作是否需要策略中的其他相关操作,请参阅服务授权参考 中的 Amazon Elastic Compute Cloud 的操作、资源和条件键

    • 服务角色 – 服务角色是服务代表您在您的账户中执行操作而担任的 IAM 角色。服务角色只在您的账户内提供访问权限,不能用于为访问其他账户中的服务授权。IAM 管理员可以在 IAM 中创建、修改和删除服务角色。有关更多信息,请参阅 IAM 用户指南中的创建向Amazon服务委派权限的角色

    • 服务相关角色 – 服务相关角色是与 Amazon 服务关联的一种Amazon服务角色。服务可以代入代表您执行操作的角色。服务相关角色显示在您的 IAM 账户中,并归该服务所有。IAM 管理员可以查看但不能编辑服务相关角色的权限。

  • 在 Amazon EC2 上运行的应用程序 – 您可以使用 IAM 角色管理在 EC2 实例上运行并发出 Amazon CLI 或 Amazon API 请求的应用程序的临时凭证。这优先于在 EC2 实例中存储访问密钥。要将Amazon角色分配给 EC2 实例并使其对该实例的所有应用程序可用,您可以创建一个附加到实例的实例配置文件。实例配置文件包含角色,并使 EC2 实例上运行的程序能够获得临时凭证。有关更多信息,请参阅 IAM 用户指南 中的使用 IAM 角色为 Amazon EC2 实例上运行的应用程序授予权限

要了解是使用 IAM 角色还是 IAM 用户,请参阅 IAM 用户指南 中的何时创建 IAM 角色(而不是用户)

使用策略管理访问

您将创建策略并将其附加到 IAM 身份或Amazon资源,以便控制Amazon中的访问。策略是Amazon中的对象;在与标识或资源相关联时,策略定义它们的权限。您可以通过 root 用户或 IAM 用户身份登录,也可以代入 IAM 角色。随后,当您提出请求时,Amazon会评估相关的基于身份或基于资源的策略。策略中的权限确定是允许还是拒绝请求。大多数策略在Amazon中存储为 JSON 文档。有关 JSON 策略文档的结构和内容的更多信息,请参阅 IAM 用户指南 中的 JSON 策略概述

管理员可以使用 Amazon JSON 策略来指定谁有权访问什么内容。也就是说,哪个委托人 可以对什么资源 执行操作,以及在什么 条件 下执行。

每个 IAM 实体(用户或角色)最初没有任何权限。换言之,默认情况下,用户什么都不能做,甚至不能更改他们自己的密码。要为用户授予执行某些操作的权限,管理员必须将权限策略附加到用户。或者,管理员可以将用户添加到具有预期权限的组中。当管理员为某个组授予访问权限时,该组内的全部用户都会获得这些访问权限。

IAM 策略定义操作的权限,无关乎您使用哪种方法执行操作。例如,假设您有一个允许 iam:GetRole 操作的策略。具有该策略的用户可以从Amazon Web Services Management Console、Amazon CLI 或者 Amazon API 获取角色信息。

基于身份的策略

基于身份的策略是可附加到身份(如 IAM 用户、用户组或角色)的 JSON 权限策略文档。这些策略控制用户和角色可在何种条件下对哪些资源执行哪些操作。要了解如何创建基于身份的策略,请参阅 IAM 用户指南 中的创建 IAM 策略

基于身份的策略可以进一步归类为内联策略托管策略。内联策略直接嵌入单个用户、组或角色中。托管策略是可以附加到Amazon账户中的多个用户、组和角色的独立策略。托管策略包括Amazon托管策略和客户托管策略。要了解如何在托管策略和内联策略之间进行选择,请参阅 IAM 用户指南 中的在托管策略与内联策略之间进行选择

基于资源的策略

基于资源的策略是附加到资源的 JSON 策略文档。基于资源的策略的示例包括 IAM 角色信任策略 和 Amazon S3 存储桶策略。在支持基于资源的策略的服务中,服务管理员可以使用它们来控制对特定资源的访问。对于在其中附加策略的资源,策略定义指定委托人可以对该资源执行哪些操作以及在什么条件下执行。您必须在基于资源的策略中指定委托人。委托人可以包括账户、用户、角色、联合身份用户或Amazon服务。

基于资源的策略是位于该服务中的内联策略。您不能在基于资源的策略中使用来自 IAM 的Amazon托管策略。

访问控制列表 (ACL)

访问控制列表 (ACL) 控制哪些委托人(账户成员、用户或角色)有权访问资源。ACL 与基于资源的策略类似,尽管它们不使用 JSON 策略文档格式。

Amazon S3、Amazon WAF 和 Amazon VPC 是支持 ACL 的服务示例。要了解有关 ACL 的更多信息,请参阅 Amazon Simple Storage Service 开发人员指南 中的访问控制列表 (ACL) 概述

其他策略类型

Amazon支持额外的、不太常用的策略类型。这些策略类型可以设置更常用的策略类型向您授予的最大权限。

  • 权限边界 – 权限边界是一个高级功能,用于设置基于身份的策略可以为 IAM 实体(IAM 用户或角色)授予的最大权限。您可为实体设置权限边界。这些结果权限是实体的基于身份的策略及其权限边界的交集。在 Principal 中指定用户或角色的基于资源的策略不受权限边界限制。任一项策略中的显式拒绝将覆盖允许。有关权限边界的更多信息,请参阅 IAM 用户指南 中的 IAM 实体的权限边界

  • 服务控制策略 (SCP) – SCP 是 JSON 策略,指定了组织或组织单位 (OU) 在 Amazon Organizations 中的最大权限。 Amazon Organizations 是一项服务,用于分组和集中管理您的企业拥有的多个Amazon账户。如果在组织内启用了所有功能,则可对任意或全部账户应用服务控制策略 (SCP)。SCP 限制成员账户中实体的权限,包括每个Amazon账户根用户。有关 Organizations 和 SCP 的更多信息,请参阅 Amazon Organizations 用户指南中的 SCP 工作原理

  • 会话策略 – 会话策略是当您以编程方式为角色或联合身份用户创建临时会话时作为参数传递的高级策略。结果会话的权限是用户或角色的基于身份的策略和会话策略的交集。权限也可以来自基于资源的策略。任一项策略中的显式拒绝将覆盖允许。有关更多信息,请参阅 IAM 用户指南 中的会话策略

多个策略类型

当多个类型的策略应用于一个请求时,生成的权限更加复杂和难以理解。要了解Amazon如何确定在涉及多种策略类型时是否允许请求,请参阅 IAM 用户指南中的策略评估逻辑