Управление ролями IAM
Роли Управления идентификацией и доступом AWS (IAM) – это объекты, которые вы создаете и которым назначаете конкретные разрешения, позволяющие доверенным идентификаторам (например, сотрудников и приложений) выполнять действия в AWS. Когда ваши доверенные идентификаторы принимают на себя роли IAM, им предоставляются только те разрешения, которые соответствуют этим ролям IAM. Использование ролей IAM является лучшей практикой безопасности, поскольку роли предоставляют временные учетные данные, которые не нужно менять.
Общие сценарии, в которых используются роли IAM
Объединение учетных данных сотрудников в AWS. Используя Центр идентификации AWS IAM, ваши пользователи могут применять свои существующие корпоративные учетные данные для подключения к аккаунтам AWS. С помощью ролей IAM вы можете указать разрешения, которые должны иметь пользователи при доступе к аккаунтам AWS.
Доступ к рабочим нагрузкам в AWS. Рабочая нагрузка – это набор ресурсов и кода, например приложение, которое требует идентификации для выполнения запросов к сервисам AWS. Благодаря использованию ролей IAM ваше приложение, работающее в любой вычислительной среде AWS, например в инстансах Amazon EC2, может получить доступ к ресурсам AWS с помощью временных данных для доступа, устраняя необходимость в управлении долгосрочными учетными данными.
Доступ к рабочим нагрузкам, выполняемым за пределами AWS. У вас могут быть рабочие нагрузки, работающие вне AWS, например локальные, гибридные и мультиоблачные среды, которым нужен доступ к вашим ресурсам AWS. С помощью IAM Roles Anywhere ваши приложения за пределами AWS могут получить временный доступ к ресурсам в среде AWS.
Включение доступа к нескольким аккаунтам. Мы рекомендуем использовать несколько аккаунтов AWS для изоляции и управления бизнес-приложениями и данными. Чтобы позволить вашим идентификаторам в одном аккаунте AWS получить доступ к ресурсам в другом аккаунте AWS, вы можете использовать роли IAM для предоставления доступа.
Предоставление доступа сервисам AWS. Сервисам AWS необходимо предоставить разрешение на выполнение действий в вашем аккаунте AWS от вашего имени. Когда вы настраиваете среду сервиса AWS, вы определяете роль, которую будет выполнять сервис. После этого сервис может принять роль сервиса и выполнять только те действия, которые вы указали.
Чтобы узнать больше о ролях, см. раздел Роли IAM в руководстве пользователя IAM.
Узнайте, как управлять разрешениями с помощью IAM