AWS之IAM-go编程权威指南(二) - 码小课 - 程序员在线学习平台

当前位置:　首页>> 技术小册>> go编程权威指南(二)

**IAM介绍：**
AWS Identity and Access Management (IAM) 是一项 Web 服务，用于安全地控制对 AWS 服务的访问。借助 IAM，您可以集中管理用户、安全凭证（如访问密钥），以及控制用户和应用程序可以访问哪些 AWS 资源的权限。

------------

**IAM理解：**
IAM主要是针对安全相关的服务。
我们可以理解为可以为AWS创建哪些用户。
某些用户具体有哪些权限。
如，我们可以创建一个EC2操作用户，该用户只有EC2服务器的启动、停止权限，但不能新建EC2实例。
这样可以将权限的粒度分到很细的程度，如果给一个不靠谱的人太高权限，他胡乱建一些EC2实例 ，那么这些实例产生的费用是很高的。
另外，IAM也会对API的访问key进行严格控制，哪个用户可以创建api的key文件，并且该key文件有哪些权限。
如果accessKey文件被恶意利用，并且该文件的权限过高，如：使用root用户创建的accessKey，那这个key具体很高的权限，可以通过sdk，或者api请求，直接创建EC2实例，删除aws数据等等。

------------
**IAM控制台**
进入IAM控制台，即可以创建用户组、用户、角色、策略
![](/uploads/images/20230216/359d2d6a9f679b58e88b409153efd510.png)
policy我们可以理解为具体的权限。

如下面这两个用户，一个是给了ec2实例的操作权限，另一个是操作s3服务的权限：
![](/uploads/images/20230216/ea0daaaf5c1959d92b70d79520f58655.png)

------------

**分配权限：**
我们可以创建一个组，给这个组相应的某些权限，然后把用户关联到该组里
![](/uploads/images/20230216/785d2e564dda713ae364dba7f1b10741.png)
也可以单独为该用户直接分配权限：
**分配权限选择组：**
![](/uploads/images/20230216/4c8aa082dcf9e6a7e2a4158f5d5ebaf0.png)
**直接给用户权限**
下面的权限列表包含了所有可用权限，如帐号管理、EC2管理、S3等等：
![](/uploads/images/20230216/db8e4710721140b0fb248cb829dfedc8.png)

------------

小结：
IAM是AWS对于帐户安全保护的最重要的一道保护伞，一但帐号汇露，后查不堪设想。
因为aws通常是绑定用户的信用卡的，而信用卡每次都是下个月才生成帐单。

曾经亲身经历的一个案例：
没有严格控制accessKey的管理，使用root用户生成了accessKey，结果该key文件不知道什么原因被泄露，某黑客通过使用该accessKey调用api，在我们不常关注的区域里建了大量的配置及高的实例用来挖矿，结果导致该月帐单超出一大部分。
好在后来我们提交了工单，并截图留下了各种证据，最终由aws技术人员审核，情况属性实，最终退还了多出的费用。

由上在的事例可见，aws做好安全方面的工作尤其重要。
后面的课程中我们也会有一节关于安全方面的内容介绍。

该分类下的相关小册推荐：

go编程权威指南(三)

Golang并发编程实战

企业级Go应用开发从零开始

Go开发权威指南(上)

WebRTC音视频开发实战

深入浅出Go语言核心编程(五)

Go语言入门实战经典

从零写一个基于go语言的Web框架

深入浅出Go语言核心编程(四)

深入浅出Go语言核心编程(六)

Golang修炼指南

Go Web编程(下)