Introduction to AWS Identity and Access Management (IAM)
什么是IAM
AWS 身份与访问管理（IAM）是亚马逊网络服务（AWS）提供的一项网络服务，能让您安全地管理对 AWS 服务和资源的访问。 它使您可以控制谁能够访问哪些 AWS 资源，以及他们可以对这些资源执行什么操作。
IAM关键概念
用户
IAM 用户代表与 AWS 服务交互的个人或应用程序。每个用户都有一组唯一的凭证（如访问密钥和密码）。
用户组
用户组是 IAM 用户的集合。通过给一个组分配权限，您可以更高效地管理多个用户的访问权限。
角色
角色用于委托对 AWS 资源的访问权限。它们不与特定的用户或组相关联
策略
策略是 IAM 访问控制的核心。策略是一个基于 JSON 的文档，用于定义权限。它详细说明了允许或拒绝用户、组或角色对特定 AWS 资源进行的操作。
IAM应用场景
多用户环境下的权限管理
跨账户访问管理
与第三方应用的集成
IAM的安全最佳实践
最小权限原则 只授予用户、组或角色完成其工作任务所需的最小权限
定期审查权限 企业的业务需求和员工职责可能会随着时间而变化，因此需要定期审查和更新用户、组和角色的权限
启用多因素认证（MFA） 对于重要的用户账户，建议启用多因素认证
目的
此实验将演示：
探索预先创建的 IAM 用户和组
检查应用于预先创建的组的 IAM 策略
按照实际场景，将用户添加到启用了特定功能的组
查找和使用 IAM 登录 URL
试验策略对服务访问的影响
步骤一 浏览用户和组
1.在 AWS Management Console 顶部的搜索栏中，搜索并选择IAM.
2.在左侧的导航窗格中，单击 Users。
3.单击 user-1。
这将带来 user-1 的摘要页面。将显示 Permissions 选项卡。
请注意，user-1 没有任何权限。
注意：您应该会看到 Unexpected 错误消息。这是正常的。
4.单击 Groups 选项卡。 User-1 也不是任何组的成员。
5.单击 Security credentials 选项卡。 user-1 被分配了控制台密码
6.在左侧导航窗格中，单击 User Groups。
已为您创建以下组：
EC2-Administrator
EC2-Support
S3-Support
单击 EC2-Support 组。
这将带您进入 EC2-Support 组的摘要页面。
7.单击 Permissions 选项卡。 此组具有与之关联的托管策略，称为 AmazonEC2ReadOnlyAccess。
托管策略是可以附加到 IAM 用户和组的预构建策略 （由 AWS 或您的管理员构建）。
更新策略后，对策略的更改将立即应用于附加到策略的所有用户和组。
单击 Permissions （权限） 选项卡下的 AmazonEC2ReadOnlyAccess，此时将打开一个新的浏览器窗口。
现在单击 { } JSON。
8.IAM 策略中语句的基本结构为：
Effect 表示是 Allow （允许） 还是 Deny （拒绝） 权限。
Action 指定可对 AWS 服务进行的 API 调用（例如 cloudwatch：ListMetrics）。
Resource 定义策略规则涵盖的实体的范围（例如，特定的 Amazon S3 存储桶或 Amazon EC2 实例，或 *，表示任何资源）。
9.在左侧导航窗格中，单击 User Groups。
单击 S3-Support 组。
S3-Support 组附加了 AmazonS3ReadOnlyAccess 策略。
10.单击 Permissions （权限） 选项卡下的 AmazonS3ReadOnlyAccess，此时将打开一个新的浏览器窗口。
现在单击 { } JSON。
此策略有权获取和列出 Amazon S3 中的资源。
11.在左侧导航窗格中，单击 User Groups。
单击 EC2-Admin 组。
单击 Permissions （权限） 选项卡下的 EC2-Admin-Policy。现在单击 JSON 选项卡。
此策略授予查看 （Describe） 有关 Amazon EC2 的信息的权限，以及启动和停止实例的能力。
12.在屏幕底部，单击 Cancel （取消） 以关闭策略。
业务场景
业务场景 在本实验的其余部分，您将使用这些用户和组来启用支持以下业务场景的权限： 用户---在组中---- 权限
用户 1 - S3 支持-- 对 Amazon S3 的只读访问权限
用户 2 - EC2 支持-- 对 Amazon EC2 的只读访问权限
用户 3 - EC2-管理员-- 查看、启动和停止 Amazon EC2 实例
步骤二 将用户添加到组
1.在左侧导航窗格中，单击 User Groups。
2.单击 S3-Support 组。
3.单击 Users 选项卡。
4.在 Users 选项卡中，单击 Add Users。
5.在 Add Users to Group （将用户添加到组） 窗口中，配置以下内容：
选择 user-1。
在屏幕底部，单击 Add Users。
在 Users 选项卡中，您将看到 user-1 已添加到组中。
6.将 user-2 添加到 EC2-Support Group
您已将 user-2 雇佣到一个角色中，他们将在该角色中为 Amazon EC2 提供支持。
使用与上述步骤类似的步骤，将 user-2 添加到 EC2-Support 组。
user-2 现在应该是 EC2-Support 组的一部分。
7.将 user-3 添加到 EC2-Admin 组
您已聘请用户 3 作为 Amazon EC2 管理员，负责管理您的 EC2 实例。
8.使用与上述步骤类似的步骤，将 user-3 添加到 EC2-Admin 组。
user-3 现在应该是 EC2-Admin 组的一部分。
9.在左侧导航窗格中，单击 User Groups。
每个 Group 的 Users 列中应有一个 1，表示每个 Group 中的用户数。
步骤三 登录和测试用户
1.在左侧导航窗格中，单击 Dashboard。
显示 IAM 用户登录 URL，它看起来类似于：https://123456789012.signin.aws.amazon.com/console 此链接可用于登录您当前使用的 AWS 账户。
2.将 IAM 用户登录 URL 复制到文本编辑器。
3.打开一个无痕窗口。
4.单击 Tools 菜单选项
5.单击 InPrivate 浏览
6.将 IAM 用户登录链接粘贴到您的私有窗口中，然后按 Enter。
您现在将以用户 1 的身份登录，该用户已被聘为您的 Amazon S3 存储支持人员。
7.登录方式：
IAM 用户名： 用户 1
密码：粘贴位于这些说明左侧的 AdministratorPassword 的值。
在 AWS Management Console 顶部的搜索栏中，搜索并选择第 3 页.
8.单击名称中包含 s3bucket 的存储桶。
您的 S3 存储桶的名称也位于这些说明的左侧。名为 awslabs-resources 的存储桶也可能与错误一起存在。
注意：这是正常的。您无权访问此存储桶。
由于您的用户是 IAM 中 S3-Support Group 的成员，因此他们有权查看 Amazon S3 存储桶列表和 s3bucket 的内容。
9.现在，测试他们是否有权访问 Amazon EC2。
在 AWS Management Console 顶部的搜索栏中，搜索并选择EC2.
10.通过以下方式导航到启动实验室的区域：
单击屏幕顶部 Support 左侧的下拉箭头
选择与这些说明左侧的 Region 值匹配的 region 值
在左侧导航窗格中，单击 Instances （实例）。
您看不到任何实例。这是因为尚未为您的用户分配任何使用 Amazon EC2 的权限。
您现在将以用户 2 的身份登录，该用户已被聘为您的 Amazon EC2 支持人员。
11.通过配置以下内容，将用户 1 从 AWS 管理控制台中注销：
在屏幕顶部，单击 user-1
单击 Sign Out
将 IAM 用户登录链接粘贴到您的私有窗口中，然后按 Enter。
此链接应位于文本编辑器中。
12.登录方式：
IAM 用户名： 用户 2
密码：粘贴位于这些说明左侧的 AdministratorPassword 的值。
在 AWS Management Console 顶部的搜索栏中，搜索并选择EC2.
在屏幕右上角，通过切换按钮启用 New EC2 Experience（如果默认情况下未启用）。
13.通过以下方式导航到启动实验室的区域：
单击屏幕顶部 Support 左侧的下拉箭头
选择与这些说明左侧的 Region 值匹配的 region 值
在左侧导航窗格中，单击 Instances （实例）。
您现在可以看到 Amazon EC2 实例，因为您具有 Read Only 权限。但是，您将无法对 Amazon EC2 资源进行任何更改。
14.应选择您的 EC2 实例如果未选择，请选择它。
在 Instance state（实例状态）中，菜单单击 Stop instance（停止实例）。
在 Stop instance （停止实例） 窗口中，单击 Stop （停止）。
您将收到一条错误消息，指出您无权执行此操作。这表明该策略只允许您获取信息，而不进行更改。
关闭显示的错误消息。
15.接下来，检查用户 2 是否可以访问 Amazon S3。
在 AWS Management Console 顶部的搜索栏中，搜索并选择第 3 页.
您将收到错误 Access Denied because user-2 didn't permission to use Amazon S3.
您现在将以用户 3 的身份登录，该用户已被聘为您的 Amazon EC2 管理员。
16.通过配置以下内容，将用户 2 从 AWS 管理控制台中注销：
在屏幕顶部，单击 user-2
单击 Sign Out
将 IAM 用户登录链接粘贴到您的私有窗口中，然后按 Enter。
17.再次将登录链接粘贴到 Web 浏览器地址栏中。如果它不在剪贴板中，请从之前存储它的文本编辑器中检索它。
登录方式：
IAM 用户名： 用户 3
密码：粘贴位于这些说明左侧的 AdministratorPassword 的值。
在 AWS Management Console 顶部的搜索栏中，搜索并选择EC2.
18.通过以下方式导航到启动实验室的区域：
单击屏幕顶部 Support 左侧的下拉箭头
选择与这些说明左侧的 Region 值匹配的 region 值
19.在左侧导航窗格中，单击 Instances （实例）。 作为 EC2 管理员，您现在应该有权停止 Amazon EC2 实例。
应选择您的 EC2 实例。如果不是，请选择它。
20.在 Instance state（实例状态）中，菜单单击 Stop instance（停止实例）。
21.在 Stop Instance （停止实例） 窗口中，单击 Stop （停止）。
22.实例将进入 stopping 状态并关闭。 关闭您的隐私窗口。
结论
探索预先创建的 IAM 用户和组
已检查应用于预先创建的组的 IAM 策略
遵循真实场景，将用户添加到启用了特定功能的组
找到并使用了 IAM 登录 URL
试验了策略对服务访问的影响