Amazon Web Services (AWS) 中的身份和访问管理 (IAM)

什么是AWS IAM？

AWS Identity and Access Management (IAM) 是一个基于 Web 的 AWS 服务，可以让您安全地控制对 AWS 服务和资源的访问。使用 IAM，您可以创建并管理 AWS 用户和组，并使用权限定义来允许或拒绝他们对 AWS 资源的访问。

为什么需要AWS IAM？

在 AWS 中，访问控制是指您为用户、服务或应用程序分配的权限，以及您控制它们能够使用的 AWS 资源。AWS IAM 是 AWS 安全的基础，它可以帮助您确保您的 AWS 资源得到最佳的安全性和保护。

AWS IAM 可以帮助您完成以下任务：

• 创建和管理 IAM 用户和 IAM 用户组，以及设置身份验证和访问控制策略来允许或拒绝资源访问。
• 跟踪您的 AWS 资源使用和 API 操作，以及从哪个 IAM 用户或角色进行的访问。
• 启用 AWS 多个账户中的跨账户访问，以允许您在多个 AWS 账户中控制对您的 AWS 资源的访问。
• 通过使用企业认证系统将 IAM 与其他身份验证系统集成，包括 LDAP 服务器、Microsoft Active Directory 和 SAML 2.0。

如何使用AWS IAM？

您可以在 AWS 控制台中使用 IAM 控制台、AWS CLI（命令行界面）或 AWS SDK（软件开发工具包）来管理 IAM。下面是一些常见的 AWS IAM 操作：

创建IAM用户

要创建 IAM 用户，请使用以下步骤：

1. 在 IAM 控制台中，单击“用户”。
2. 单击“添加用户”。
3. 输入新用户的名称。
4. 选择该用户的访问类型（即 AWS Management Console、程序化访问和 AWS Mobile SDK、无访问）。
5. 配置设置（例如为该用户分配 AWS 权限策略、设置 MFA（多因素身份验证）和邮箱通知）。

To create an IAM user:
1. In the IAM console, click "Users".
2. Click "Add user".
3. Enter the name for the new user.
4. Choose the type of access for the user (i.e. AWS Management Console, programmatic access and AWS Mobile SDK, no access).
5. Configure settings (e.g. assign AWS permission policies to the user, set up MFA and email notifications).

创建IAM用户组

IAM 用户组是您创建的一组 IAM 用户的集合。您可以为用户组分配权限并管理其成员。要创建 IAM 用户组，请使用以下步骤：

1. 在 IAM 控制台中，单击“用户组”。
2. 单击“创建用户组”。
3. 输入用户组的名称。
4. 为用户组添加成员。
5. 为用户组分配权限（即策略）。

To create an IAM user group:
1. In the IAM console, click "Groups".
2. Click "Create group".
3. Enter the name of the user group.
4. Add members to the user group.
5. Assign permissions (i.e. policies) to the user group.

创建IAM策略

IAM 策略是一组指定谁可以在 AWS 资源上执行哪些操作的权限。在创建 IAM 策略时，您需要指定一些关键信息，例如名称、范围（即该策略适用的资源）、操作（即允许或拒绝哪些操作）和条件。

To create an IAM policy:
1. In the IAM console, click "Policies".
2. Click "Create policy".
3. Choose the type of policy you want to create (e.g. AWS managed policy, customer managed policy).
4. Configure the settings for your policy (e.g. policy name, scope, actions, conditions).

总结

AWS IAM 是一种简便、灵活且可扩展的解决方案，它可以提供强大的控制，以确保您的 AWS 资源得到最佳的安全性和保护。通过使用 AWS IAM，您可以创建和管理 IAM 用户和 IAM 用户组，并通过使用策略来定义资源访问权限。同时，还可以跟踪资源的使用，进行审计和监视，并且可以将 IAM 与其他身份验证系统集成。