amazon-web-services - AWS IAM 角色能否用于在 AWS 外部运行的应用程序？

Question

所以我认为最简单的解决方案是我的问题是将 AWS 用于所有事情，但我想了解什么是可能的:

我了解 IAM 角色可以与 EC2 或 Lambda 等 AWS 服务相关联，以便在该服务中运行的应用程序/函数可以检索凭证以签署 API 请求以发送给其他 AWS 服务。我以前有一个应用程序在 Heroku 上运行并使用 Amazon S3。目前我为此应用程序设置了一个 IAM 用户，它使用与 IAM 用户帐户关联的访问 key 签署对 AWS API 的请求。我认为最佳做法是使用 IAM 角色而不是用户进行应用程序源代码 AWS API 调用，但是是否可以为 AWS 外部托管的应用程序设置此角色，或者我是否需要将应用程序迁移到 AWS EC2为了使用 IAM 角色？

Answer 1

应用程序的托管位置并不重要，但要承担 IAM 角色，您将需要 IAM 凭证(先有鸡还是先有蛋)。通常，您会为您的应用程序设计一种安全的方式来检索这些基本凭据。这是在 AWS 之外运行计算的一个缺点(因为它无法自动承担 IAM 角色)。

一种选择是创建一个 IAM 用户，其唯一权限是能够担任给定的 IAM 角色。在 AWS 之外安全地将这些 IAM 用户凭证提供给您的应用程序，并让应用程序承担 IAM 角色，最好使用 ExternalId，它本身也由您的应用程序安全存储和检索。此外，您可以 manage access to the IAM role ，例如定义哪些委托(delegate)人可以担任该角色，以及在哪些条件下。