Iam

核心概念 IAM（Identity and Access Management）是 AWS 的权限管理服务，控制"谁能对哪些资源做什么操作"。 概念 说明 User 人用的账号，有固定 Access Key，用于控制台登录或 CLI Group 用户组，把多个 User 归组，统一附加策略 Role 权限载体，定义"能做什么"，不能直接登录，由主体 assume Policy 权限策略（JSON），附加到 User/Group/Role 上 Instance Profile 专用于 EC2 的 Role 容器，EC2 通过它携带 Role User vs Role User：人或应用持有的固定身份，有长期有效的 Access Key。适合人工操作、CI/CD 等场景。 Role：临时身份，被某个主体（EC2、Lambda、另一个账号）“扮演”（assume）后获得临时凭证（15 分钟 ~ 12 小时有效）。不绑定固定密钥，安全性更高。 Instance Profile（EC2 专用） EC2 实例不能直接绑定 IAM Role，必须通过 Instance Profile 作为中间层： EC2 实例 └─ Instance Profile（容器） └─ IAM Role └─ 权限策略（Policy） EC2 启动后通过 IMDS（实例元数据服务，169.254.169.254）自动获取 Role 的临时凭证，aws CLI 和各语言 SDK 会自动读取，无需 aws configure。 ...