利用 AWS STS 假定角色权限管理 AWS – techsyncer

您是否在组织扩展过程中苦于管理 AWS 资源访问权限？不用担心！AWS 安全令牌服务（STS）来拯救你。

借助 AWS STS 扮演角色特权，您可以向用户和应用程序临时授予对 AWS 资源的访问权限，而无需长期凭据。在本教程中，您将学会更有效地管理资源，同时保持其安全性。

继续阅读，并轻松获得对 AWS 基础架构和资源的完全控制！

先决条件

本教程将进行实践演示。要跟着进行，请确保您拥有一个启用了活动计费的 AWS 账户，但一个免费层账户就足够了。

创建零访问权限的 IAM 用户

在您可以使用 AWS STS 扮演角色特权之前，必须首先创建一个没有分配任何权限的IAM 用户。这个操作可能看起来有些违反直觉，但这是至关重要的，因为 IAM 用户不能直接扮演角色。他们必须通过 AWS STS 服务首先扮演一个角色，以获取临时安全凭证。

要创建一个零权限的 IAM 用户，请按照以下步骤操作：

1. 打开您喜爱的网络浏览器，并使用您的根 AWS 帐户登录到 AWS 管理控制台。

2. 接下来，从服务列表中搜索并选择 IAM，以访问 IAM 控制台。

3. 在 IAM 控制台上，导航到用户（左侧窗格），然后单击“添加用户”以开始添加新用户。

4. 现在，配置以下用户详细信息。此操作使您的 IAM 用户可以使用其用户名和密码登录到 AWS 管理控制台。

用户名 – 为新用户提供名称，并选中下面的复选框以向其提供访问 AWS 管理控制台的权限。
选择“我想创建 IAM 用户”选项，因为您正在创建 IAM 用户。
控制台密码 – 选择“自动生成的密码”选项以生成稍后可以更改的密码。

配置完成后，单击“下一步”以继续创建 IAM 用户。

5. 在下一页上，保留默认设置，并单击“下一步”以跳过设置用户权限。

无需为此用户分配任何权限，因为您正在创建一个零权限且可以访问 AWS 管理控制台的用户。

没有权限的用户在承担授予他们必要权限的角色之前无法执行任何操作。

6. 接下来，审查您配置的用户详细信息，并单击“创建用户”以完成创建 IAM 用户。

7. 复制并保存 IAM 用户的登录 URL 和密码。您稍后将需要这些信息以 IAM 用户身份登录。

Taking note of the IAM user’s sign-in URL and password

8. 现在，返回到 IAM 控制台，导航到“用户”页面（左侧窗格），然后点击新创建的用户名称以访问其摘要页面。

Accessing the newly-created user’s summary page

9. 最后，在摘要页面上，记录用户的 Amazon 资源名称 (ARN)，即用户的唯一标识符。在为用户分配角色时，稍后您将需要此 ARN。

Noting down the newly-created user’s ARN

准备自定义信任策略

拥有专用 IAM 用户后，您可以准备扮演角色，授予对 AWS 资源的访问权限。但是，要让 IAM 用户扮演角色，角色必须首先信任用户。

通过创建自定义信任策略，您将在 IAM 用户和角色之间建立一个“信任关系”。此信任关系指定了哪些用户或帐户可以扮演角色以及在什么条件下。

要准备自定义信任策略，请按照以下步骤操作：

1. 在 IAM 控制台中导航到“角色”（左侧窗格），然后点击“创建角色”以开始创建新角色。

2. 接下来，点击“自定义信任策略”选项以创建自定义策略。

Choosing to create a custom trust policy

3. 在文本字段中输入以下策略，如下所示，然后点击“下一步”。将 YOUR_ARN 替换为您在“创建一个零访问权限的 IAM 用户”部分最后一步中记录的 IAM 用户的 ARN。

以下是允许指定IAM用户或角色假定特定IAM角色的自定义信任策略的基本示例，具有以下字段：

Field	Function
Version	Specifies the version of the policy language.
Statement	Contains the policy statement(s).
Effect	Specifies whether the statement allows or denies access, with Allow, in this case, granting access.
Principal	Specifies the entity allowed to assume the role; in this example, it is an empty string.
Action	Specifies the action the IAM user or role is allowed to perform. The sts:AssumeRole value allows the user to assume the specified IAM role.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
               "AWS": "YOUR_ARN"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}