amazon-web-services - 了解IAM Passrole

Question

我无法理解IAM Passrole的使用。谁能用简单的例子解释一下？
我指的是页面:https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_passrole.html，但说起来没有多大意义。

Answer 1

PassRole是授予IAM用户和资源的许可，允许他们使用IAM角色。
例如，假设有一个称为管理员的IAM角色。此角色具有不应授予大多数用户的强大权限。
接下来，想象一个有权启动Amazon EC2实例的IAM用户。启动实例时，用户可以指定IAM角色以与实例相关联。如果用户(不是管理员)将以Administrators角色启动EC2实例，则他们可以登录到该实例并使用该角色的权限发出命令。这将是他们规避权限的一种方法，因为他们本身不是管理员，但可以将IAM角色分配给资源，然后使用该资源获得特权访问。
为防止出现这种情况，必须为用户授予该IAM角色的iam:PassRole权限。如果他们没有该权限，则将不允许他们启动实例或在其他服务中分配角色。 它授予他们将角色传递给服务或资源的权限。