amazon-web-services - AWS IAM "Identity"和 "Entity"之间的区别

Question

我正在阅读 AWS 文档 Understanding how IAM works我对身份和实体的定义感到困惑。

Identities
The IAM resource objects that are used to identify and group. You can attach a policy to an IAM identity. These include users, groups, and roles.

Entities
The IAM resource objects that AWS uses for authentication. These include IAM users, federated users, and assumed IAM roles.

两者有什么区别？它们都是 IAM 资源对象。它们都包括用户和角色(尽管只有身份才有组)。您只能将策略附加到身份而不是实体，但您最终验证的是实体而不是身份。命名差异只是语法问题，还是两者之间存在根本差异？

Answer 1

我的理解得到了 this diagram 的帮助来自 Wikipedia page on IAM .
实体代表系统上的参与者，他们每个人可能有多个 身份 .
不幸的是，这并不能很好地转化为 IAM 资源，而且 IAM 用户指南本身在提及实体、身份和委托(delegate)人时非常松散(它似乎经常互换使用它们)。正如您已经注意到的，身份是特殊的，因为它们可以直接附加策略。虽然某些实体可以附加策略(因为它们也恰好是身份)，但这更多的是实现细节，而不是功能。