aws-iam - AWS - IAM 角色和信任关系

Question

我是 AWS 和 IAM 的新手，并试图了解角色和信任关系。

我完全理解为什么要使用角色，如何创建它们以及它们的用例。

我不明白的是信任关系步骤。在我见过的几乎所有情况下，它都是一对一的关系。 EC2 需要对 EC2 的信任。为什么会有额外的步骤？

如果我创建一个 EC2 实例和一个具有 S3 权限的角色，为什么这还不够？

Answer 1

角色用于在设定的时间段内向特定参与者授予特定权限。因此，角色需要两件事:权限策略(可以访问哪些资源以及可以采取哪些操作)和信任策略(哪些实体可以承担该角色)。

例如，以下 CloudFormation 片段创建了一个角色 ( MyInstanceRole )，其策略 ( MyWritePolicy ) 允许访问 S3 存储桶并允许 EC2 实例( Principal 或信任部分)承担该角色:

MyInstanceRole:
Type: AWS::IAM::Role
Properties:
  AssumeRolePolicyDocument:
    Version: 2012-10-17
    Statement:
    - Effect: Allow
      Action: sts:AssumeRole
      Principal:
        Service: ec2.amazonaws.com
  Path: '/' 
  RoleName: MyInstanceRole
  Policies:
  - PolicyName: MyWritePolicy
    PolicyDocument:
      Version: 2012-10-17
      Statement:
      - Sid: WriteBackups
        Action: 
        - s3:PutObject
        Effect: Allow
        Resource: !Join ['', ['arn:aws:s3:::', !Join [ '-', [ 'bucketName', !Ref Environment ] ], '/*' ] ]

在许多情况下，只有一个 Principal ，但如果需要，可以有多个(AWS 账户、IAM 用户、IAM 角色、联合用户或代入角色用户)。

在 Now Create and Manage AWS IAM Roles More Easily with the Updated IAM Console 上有一篇方便的博客文章这提供了更多细节。