了解 IAM 角色

Question

假設用戶“ABC”附加了“EC2 完全訪問”策略。 角色也可用於“S3 完全訪問”，EC2 可以擔任此角色。 這是否意味着 ABC 可以間接訪問 S3？ 我在這里有點困惑。 此外，任何可以登錄到 EC2 機器的用戶都可以擔任此角色並可以訪問 S3。 我如何控制這一點，以便由用戶“ABC”部署的應用程序可以承擔此角色，而不是其他用戶應用程序？

Answer 1

我會試着從你的問題中解脫出來。

首先，您擁有一個可以擁有“S3 完全訪問權限”的角色。 如果這是附加到服務，您將需要創建一個信任策略，說明可以使用該服務。

角色與服務的工作方式因服務而異，例如，默認情況下，EC2 主機將使用來自 IAM 角色的臨時憑證，這些憑證無需任何用戶輸入即可承擔。 而 Redshift 要求您在希望服務承擔角色時明確指定角色 Arn（例如從 S3 復制對象）。

這意味着如果任何人都可以訪問 EC2 實例，如果他們通過 SDK 或 CLI 調用 AWS API，他們將擁有與 EC2 主機相同的權限（從角色中獲取）。

如果 IAM 用戶想要獲得角色的訪問權限但無權訪問 EC2 主機，則他們需要執行sts:AssumeRole才能代入 EC2 主機正在使用的角色。 此外，該角色的負責人還需要將帳戶或特定用戶 Arn 列入白名單。