# AWS IAM AWS Identity and Access Management (IAM) 支持对 AWS 服务和资源的安全访问控制。 IAM 是 AWS 安全性的基础 — 每个 AWS API 调用都通过 IAM 进行身份验证和授权。 ## 目录 * 核心概念 * 常见模式 * CLI 参考 * 最佳实践 * 故障排除 * 参考文献 ## 核心概念 ### 校长可以向 AWS 发出请求的实体：IAM 用户、角色、联合用户和应用程序。 ### 政策定义权限的 JSON 文档。类型： * **基于身份** ：附加到用户、组或角色 * **基于资源** ：附加到资源（S3 存储桶、SQS 队列） * **权限边界** : 一个身份可以拥有的最大权限 * **服务控制策略 (SCP)** ：组织范围内的限制 ### 角色具有可由可信实体承担的权限的身份。没有永久凭证——使用临时安全令牌。 ### 信任关系定义哪些主体可以承担角色。通过角色的信任策略进行配置。 ## 常见模式 ### 为 Lambda 创建服务角色 **AWS CLI：** # 创建信任策略猫 > trust-policy.json << 'EOF' { "版本": "2012-10-17", “声明”：[ { "效果": "允许", “主体”：{“服务”：“lambda.amazonaws.com”}， “行动”：“sts：假设角色” } ] } EOF # 创建角色 aws iam 创建角色 \ --角色名称 MyLambdaRole \ --assume-role-policy-document file://trust-policy.json # 附加托管策略 aws iam 附加角色策略 \ --角色名称 MyLambdaRole \ --policy-arn arn:aws:iam::aws:policy/service-role/AWSLambdaBasicExecutionRole **波托3：** 导入boto3 导入 json iam = boto3.client('iam') 信任策略 = { "版本": "2012-10-17", “声明”：[ { "效果": "允许", “主体”：{“服务”：“lambda.amazonaws.com”}， “行动”：“sts：假设角色” } ] } # 创建角色 iam.create_role( 角色名称='MyLambdaRole', AssumeRolePolicyDocument=json.dumps(trust_policy) ） # 附加托管策略 iam.attach_role_policy( 角色名称='MyLambdaRole', PolicyArn='arn:aws:iam::aws:policy/service-role/AWSLambdaBasicExecutionRole' ） ### 创建具有最低权限的自定义策略猫 >policy.json <<'EOF' { "版本": "2012-10-17", “声明”：[ { "效果": "允许", “行动”：[ “dynamodb：获取项目”， “dynamodb：PutItem”， “dynamodb：查询” ], “资源”：“arn：aws：dynamodb：us-east-1：123456789012：表/MyTable” } ] } EOF aws iam 创建策略 \ --策略名称 MyDynamoDBPolicy \ --policy-document file://policy.json ### 跨账户角色假设 # 在账户B（受信任账户）中，为账户A创建信任角色 cat > cross-account-trust.json << 'EOF' { "版本": "2012-10-17", “声明”：[ { "效果": "允许", "主体": { "AWS": "arn:aws:iam::111111111111:root" }, "Action": "sts:AssumeRole", “条件”：{ "StringEquals": { "sts:ExternalId": "unique-external-id" } } } ] } EOF # 从账户 A 承担角色 aws sts 假设角色 \ --role-arn arn:aws:iam::222222222222:角色/CrossAccountRole \ --角色会话名称 MySession \ --external-id 唯一的external-id ## CLI 参考 ### 基本命令命令 |描述 ---|--- `aws iam 创建角色` |创建新的 IAM 角色 `aws iam 创建策略` |创建客户管理策略 `aws iam 附加角色策略` |将托管策略附加到角色 `aws iam put-role-policy` |向角色添加内联策略 `aws iam get-role` |获取角色详细信息 `aws iam 列表角色` |列出所有角色 `aws iam 模拟主要策略` |测试策略权限 `aws sts 承担角色` |承担角色并获得临时凭证 `aws sts get-caller-identity` |获取当前身份 ### 有用的标志 * `--query`：使用 JMESPath 过滤输出 * `--output table`：人类可读的输出 * `--no-cli-pager`：禁用分页器进行脚本编写 ## 最佳实践 ### 安全 * **切勿使用 root 帐户** 执行日常任务 * **为所有人类用户启用 MFA** * **使用角色**而不是长期访问密钥 * **应用最小权限** — 仅授予所需的权限 * **使用条件**通过IP、时间或MFA限制访问 * **定期轮换凭证** * **使用权限边界**进行委派管理 ### 政策设计 * 从 AWS 托管策略开始，根据需要进行自定义 * 使用策略变量 (`${aws:username}`) 来实现动态策略 * 更倾向于明确否认敏感行为 * 对相关权限进行逻辑分组 ### 监控 * 启用 **CloudTrail** 进行 API 审核 * 使用 **IAM 访问分析器** 识别过于宽松的策略 * 定期审查**证书报告** * 设置 root 帐户使用警报 ## 故障排除 ### 访问被拒绝错误 **症状：** `AccessDeniedException` 或 `UnauthorizedAccess` **调试步骤：** 1. 验证身份：`aws sts get-caller-identity` 2. 检查附加策略：`aws iam list-attached-role-policies --role-name MyRole` 3、模拟动作： aws iam 模拟主体策略 \ --policy-source-arn arn:aws:iam::123456789012:角色/MyRole \ --action-names dynamodb:GetItem \ --resource-arns arn:aws:dynamodb:us-east-1:123456789012:table/MyTable 4. 检查 SCP 或权限边界中是否存在明确拒绝 5. 验证基于资源的策略是否允许主体 ### 无法承担角色 **症状：** 调用 `AssumeRole` 时出现 `AccessDenied` **原因：** * 信任策略不包括调用主体 * 调用者缺少 `sts:AssumeRole` 权限 *ExternalId不匹配（对于跨账户角色） * 会话持续时间超过最大值 **修复：** 检查并更新角色的信任关系。 ### 保单大小限制 * 托管策略：6,144 个字符 * 内联策略：2,048 个字符（用户），10,240 个字符（角色/组） * 信任策略：2,048 个字符 **解决方案：** 使用多种策略，通过前缀/通配符引用资源，或使用基于标签的访问控制。 ## 参考文献 * [IAM 用户指南]() * [IAM API 参考]() * [IAM CLI 参考]() * [政策参考]() * [boto3 IAM]()

我是

包含技能