amazon-web-services - Amazon Web Services 开发人员用户权限

Question

我有一个 Amazon Web Services将用于托管应用程序支持的帐户。后端使用 PHP/MySQL并且很可能会使用 EC2实例和 RDS .我有自己的帐户，可以访问所有内容。我需要为开发人员创建一个帐户以将后端放在 AWS 上，但我不希望他们访问除他们需要的内容之外的任何内容。我知道如何创建 IAM用户和组，但我不知道授予开发人员哪些权限。下 Select Policy Template有一个 Power User模板，这对开发人员有好处吗？以前有人这样做过吗？

Answer 1

高级用户访问 AWS Identity and Access Management (IAM) 中的模板授予执行除使用 IAM 之外的任何事情的权限。拥有此权限的用户可以查看、创建或删除您的 AWS 账户中的任何资源，但他们无法创建新用户或修改任何用户权限。

建议你只给别人最低权限 要求使用 AWS，这样他们就不会有意或无意地做一些不需要的事情。但是，如果您没有足够的 AWS 知识来了解需要哪些功能，您很可能需要信任开发人员来根据您的需要配置系统。

一些提示:

只允许他们通过 访问IAM 用户 -- 永远不要给他们你的 root 凭据

如果您不知道需要什么权限，那么“高级用户”至少比“管理员”更安全，因为它们无法编辑 IAM 设置

当他们完成工作时，撤销 他们的访问权限，因此他们无法创建更多 AWS 资源

确定您是否还希望撤销对 EC2 实例的访问(您必须在实例本身上执行此操作)

您可能需要定义一些 roles将与 Amazon EC2 一起使用——这些是在 IAM 中定义的，因此开发人员将无权自己创建角色

向开发人员索取他已部署内容的文档

开启 Detailed Billing确定您收到的 AWS 费用，并根据文档进行检查

开启 CloudTrail激活您帐户的审核(按区域激活)

或者，您可以执行所有 AWS 配置(启动 EC2 实例、创建数据库)，并且只让开发人员登录 EC2 实例本身。这样，他们就不需要访问您的 AWS 账户。