企业官网建设流程全解析

系列文章目录

第一章：AWS账号注册
第二章：IAM权限管理入门（本文）
第三章：Amazon EC2介绍与实践
第四章：Amazon S3介绍与实践
第五章：AWS Lambda介绍与实践
第六章：AWS Glue介绍与实践
第七章：AWS数据处理联动Demo实践

前言

在上一篇文章中，我完成了AWS账号注册，并对AWS Account和Root User有了初步了解。
在继续学习EC2、S3和Lambda之前，我发现还有一个非常重要的内容需要掌握，那就是AWS的权限管理。
如果所有操作都使用Root User完成，虽然方便，但并不符合AWS推荐的安全实践。
因此，本篇将学习AWS中的IAM（Identity and Access Management），了解User、Group、Role以及Policy等核心概念，并尝试创建自己的第一个IAM用户。

一、IAM是什么？

IAM全称：Identity and Access Management
即身份与访问管理。
IAM主要用于控制：
・谁可以访问AWS
・谁可以访问哪些资源
・能执行哪些操作
通过IAM，可以实现精细化权限管理，提高账号安全性。

二、IAM中的核心概念

2.1 User

IAM User（用户）：代表一个人或应用程序的长期身份。
每个 User 有自己的密码（控制台登录）和/或 Access Key（API/CLI 调用）。
容量限制：每个 AWS 账户最多 5000 个 IAM User（可申请提升）
特点总结：代表一个人或应用，有长期凭证。通过 Group 管理权限，不单独配策略。

2.2 Group

IAM Group（用户组）： IAM User 的逻辑集合。
Group 本身不是 Principal（不是身份），不能直接授予资源权限或担任角色，它只是用来批 量管理 User 的权限。
容量限制：每个 AWS 账户最多 300 个 Group（可申请提升）
特点总结：User 的逻辑集合，用来批量授权。本身不是 Principal。

2.3 Role

IAM Role（角色）： 一个无凭证的身份，不能直接登录或调用 API。
必须通过 sts:AssumeRole 获取临时凭证来使用。
它最大的特点是可以被信任——即允许某个主体（User、Service、外部账户）担任这个角色。
容量限制：每个 AWS 账户最多 1000 个 Role（可申请提升）
特点总结：无凭证身份，通过 AssumeRole 获取临时凭证。适合跨账户、服务授权、联合身份。

2.4 Policy

IAM 策略（Policy）：一个 JSON 文档，定义了「谁」在「什么条件下」可以「对什么资源」做「什么操作」。
为什么重要：策略是 IAM 的核心授权机制，所有的权限控制最终都通过策略来表达。没有策略，就没有权限。
常见误解：「策略越长、权限越多。」—— 实际上，最小权限才是原则。策略应该尽可能短、精确，只包含必要权限。
策略与身份的关系：
・基于身份的策略→ 附加到 User/Role/Group，定义「这个身份能做什么」
・基于资源的策略→ 附加到资源（S3、SNS、KMS 等），定义「谁能访问这个资源」

📌 Principal 的特殊说明：
基于身份的策略（附加到 User/Role/Group）：不需要 写 Principal，因为身份本身就是 Principal。
基于资源的策略（附加到资源）：必须 写 Principal，用来指定谁可以访问。

三、创建第一个IAM用户

3.1 进入IAM服务

在AWS管理控制平台的搜索框中输入【IAM】服务名称，选中对应的服务进行点击。

进入IAM用户界面后,点击右边的【创建用户】进行用户创建。

3.2 创建用户信息

输入用户详细信息，点击【下一步】。

3.3 对用户进行授权

如果已有用户组，判读是否将新用户添加到已有的用户组，直接勾选想要添加到的组。
如果没有用户组，可以选择右边的【创建组】按钮进行新用户组创建。
根据需求选择【复制权限/直接附加策略】。

创建组界面：输入用户组名并按需求勾选想要给用户组赋予的权限策略。

3.4 创建完成

最后点击【创建用户】按钮即可创建成功。

四、为什么不要长期使用Root User

在学习IAM之前，我习惯使用Root User登录AWS。
但在了解IAM之后，我发现Root User拥有账号级最高权限。
如果密码泄露或者误操作，可能影响整个AWS账号。
因此：
日常学习和资源操作建议使用IAM User。
Root User仅在必要场景下使用。

五、学习心得

刚开始接触AWS时，我认为最重要的是学习EC2和S3。
但实际学习过程中发现，在创建任何AWS资源之前，权限管理同样重要。
IAM不仅决定了谁能够访问AWS资源，也关系到账号安全和后续资源管理。
通过本次学习，我理解了User、Group、Role和Policy之间的关系，并成功创建了自己的第一个IAM用户。
接下来将进入AWS中最常见的计算服务——Amazon EC2。

总结

本文主要学习了AWS IAM（Identity and Access Management）的基础知识，并进行了实际操作。
通过本次学习，我完成了：
了解IAM的基本作用
掌握User、Group、Role和Policy的基本概念
创建第一个IAM用户
为IAM用户配置权限
了解IAM用户登录方式
理解为什么不建议长期使用Root User
IAM是AWS权限管理体系的核心，也是后续学习EC2、S3、Lambda等服务的重要基础。
建议在创建AWS资源之前，先理解并掌握IAM的基本使用方法。

下一篇

AWS学习与实践系列（三）：Amazon EC2介绍与实践
主要内容：
・EC2是什么
・Instance是什么
・创建第一个EC2实例
・Security Group介绍
・SSH连接EC2
・EC2费用注意事项