amazon-web-services - Terraform:AssumeRole:Service:ec2 做什么？

Question

这个 AWS 角色究竟是做什么的？

最相关的位似乎是:"Action": "sts:AssumeRole",和"Service": "ec2.amazonaws.com"
完整的角色在这里:

resource "aws_iam_role" "test_role" {
  name = "test_role"

  assume_role_policy = <<EOF
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": "sts:AssumeRole",
      "Principal": {
        "Service": "ec2.amazonaws.com"
      },
      "Effect": "Allow",
      "Sid": ""
    }
  ]
}
EOF
}

发件人: https://www.terraform.io/docs/providers/aws/r/iam_role.html

Answer 1

要理解这一点的含义，有必要了解 IAM 角色如何工作的一些细节。

IAM 角色在其结构中类似于用户，但不是通过一组固定的凭证访问它，而是通过承担角色来使用它，这意味着请求和获取临时 API 凭证，这些凭证允许使用以下权限执行操作被授予角色。

The sts:AssumeRole action是获得此类临时凭证的方式。要使用它，用户或应用程序使用一些已获得的凭据(例如用户的固定访问 key )调用此 API，并返回(如果允许)一组新的凭据以充当角色。这是 AWS 服务可以代表您调用其他 AWS 服务、IAM 实例配置文件在 EC2 中工作以及用户可以在 AWS 控制台中临时切换访问级别或账户的机制。

承担角色策略确定允许哪些委托(delegate)人(用户、其他角色、AWS 服务)调用 sts:AssumeRole对于这个角色。在此示例中，EC2 服务本身被授予访问权限，这意味着 EC2 能够使用此角色代表您执行操作。

仅此角色资源没有用处，因为它没有任何关联的 IAM 策略，因此不授予任何访问权限。因此 aws_iam_role资源将始终伴随至少一个其他资源以指定其访问权限。做这件事有很多种方法:

使用 aws_iam_role_policy 将策略直接附加到角色。在这种情况下，策略将描述允许该角色执行的一组 AWS 操作，以及可选的其他约束。

使用 aws_iam_policy 创建独立策略，然后使用 aws_iam_policy_attachment 将该策略与一个或多个角色、用户和组相关联。如果您希望将单个策略附加到多个角色和/或用户，此方法很有用。

使用特定于服务的机制在服务级别附加策略。这是解决问题的另一种方法，它不是将策略附加到角色，而是附加到其访问受到控制的对象。执行此操作的机制因服务而异，例如 policy aws_s3_bucket 上的属性设置特定于存储桶的策略； Principal策略文档中的元素可用于指定哪些委托(delegate)人(例如角色)可以采取某些行动。

IAM 是一个灵活的系统，支持多种不同的访问控制方法。哪种方法适合您在很大程度上取决于您的组织如何处理安全和访问控制问题:从角色角度管理策略，使用 aws_iam_role_policy和 aws_iam_policy_attachment ，通常适用于拥有一个集中的安全团队来监督整个帐户的访问的组织，而特定于服务的策略将访问控制决策委托(delegate)给负责每个单独对象的个人或团队。这两种方法可以结合起来，作为纵深防御策略的一部分，例如使用角色和用户级别的策略来实现“边界”访问控制(控制来自外部的访问)和服务级别策略来控制内部访问控制(控制之间的交互)您帐户中的对象)。

有关角色的更多详细信息，请参阅 AWS IAM 指南 IAM Roles .另见 Access Management ，其中涵盖了 IAM 中访问控制的一般概念。