创建向 IAM 用户委派权限的角色

您可以使用 IAM 角色委派对 AWS 资源的访问权限。利用 IAM 角色，您可以在您的信任账户和其他 AWS 受信任账户之间建立信任关系。信任账户拥有要访问的资源，受信任账户包含需要资源访问权限的用户。但是，其他账户可以拥有您的账户中的资源。例如，信任账户可能允许受信任账户创建新资源，例如在 Amazon S3 存储桶中创建新对象。在这种情况下，创建资源的账户拥有资源并控制谁可以访问该资源。

创建信任关系后，来自受信任账户的 IAM 用户或应用程序可以使用 AWS Security Token Service (AWS STS) AssumeRole API 操作。此操作提供临时安全凭证，可用于访问您账户中的 AWS 资源。

账户可由您进行控制，或者具有用户的账户可由第三方进行控制。如果其他具有用户的账户是您无法控制的 AWS 账户，则可使用 externalId 属性。外部 ID 可以是您和第三方账户管理员之间达成一致的任何字词或数字。此选项会在信任策略中自动添加一个条件，即仅当请求包括正确的 sts:ExternalID 时，该用户才担任该角色。有关更多信息，请参阅 访问第三方拥有的 AWS 账户。

有关如何使用角色委派权限的信息，请参阅角色术语和概念。有关使用服务角色以允许服务访问账户中的资源的信息，请参阅创建向 AWS 服务委派权限的角色。

创建 IAM 角色（控制台）

您可以使用 AWS Management Console 创建 IAM 用户可担任的角色。例如，假设贵组织拥有多个 AWS 账户 以便将开发环境与生产环境隔离。有关创建角色（该角色允许开发账户中的用户访问生产账户中的资源）的概述信息，请参阅 使用不同的开发和生产账户的示例方案。

创建 IAM 角色 (AWS CLI)

从 AWS CLI 创建角色涉及几个步骤。当您使用控制台创建角色时，很多步骤会自动完成，但是使用 AWS CLI 时，您必须自行完成每一个步骤。您必须创建角色，然后为角色分配权限策略。（可选）您还可以为您的角色设置权限边界。

以下示例演示了在简单环境中创建跨账户角色的前两个最常见的步骤。此示例允许 123456789012 账户中的任何用户担任角色并查看 example_bucket Amazon S3 存储桶。该示例还假设您使用运行 Windows 的客户端计算机，并且已使用您的账户凭证和区域配置了命令行界面。有关更多信息，请参阅配置 AWS 命令行界面。

在此示例中，在您创建角色时，在第一个命令中包括以下信任策略。此信任策略允许 123456789012 账户中的用户使用 AssumeRole 操作担任角色，但前提是用户使用 SerialNumber 和 TokenCode 参数提供 MFA 身份验证。有关 MFA 的更多信息，请参阅 IAM 中的 AWS 多重身份验证。

{
  "Version": "2012-10-17",
  "Statement": [
      {
          "Effect": "Allow",
          "Principal": { "AWS": "arn:aws:iam::123456789012:root" },
          "Action": "sts:AssumeRole",
          "Condition": { "Bool": { "aws:MultiFactorAuthPresent": "true" } }
      }
  ]
}

当您使用第二个命令时，您必须将现有托管策略附加到角色。下面的权限策略仅允许担任角色的任何人对 example_bucket Amazon S3 存储桶执行 ListBucket 操作。

{
  "Version": "2012-10-17",
  "Statement": [
      {
          "Effect": "Allow",
          "Action": "s3:ListBucket",
          "Resource": "arn:aws:s3:::example_bucket"
      }
  ]
}

要创建此 Test-UserAccess-Role 角色，您必须先将名为 trustpolicyforacct123456789012.json 的上述信任策略保存到本地 policies 驱动器中的 C: 文件夹。然后，使用名称 PolicyForRole 将上述权限策略保存为您的 AWS 账户 中的客户管理型策略。然后您可以使用以下命令来创建角色并附加托管策略。

# Create the role and attach the trust policy file that allows users in the specified account to assume the role.
$ aws iam create-role --role-name Test-UserAccess-Role --assume-role-policy-document file://C:\policies\trustpolicyforacct123456789012.json

# Attach the permissions policy (in this example a managed policy) to the role to specify what it is allowed to do.
$ aws iam attach-role-policy --role-name Test-UserAccess-Role --policy-arn arn:aws:iam::123456789012:policy/PolicyForRole

在创建角色并向该角色授予执行 AWS 任务或访问 AWS 资源的权限后，123456789012 账户中的任何用户都可以担任该角色。有关更多信息，请参阅 切换到 IAM 角色（AWS CLI）。

创建 IAM 角色 (AWS API)

从 AWS API 创建角色涉及几个步骤。当您使用控制台创建角色时，很多步骤会自动完成，但是使用 API 时，您必须自行完成每一个步骤。您必须创建角色，然后为角色分配权限策略。（可选）您还可以为您的角色设置权限边界。

在创建角色并向该角色授予执行 AWS 任务或访问 AWS 资源的权限后，您必须向账户中的用户授予允许他们担任该角色的权限。有关担任角色的更多信息，请参阅 切换到 IAM 角色（AWS API）。

创建 IAM 角色 (AWS CloudFormation)

有关在 AWS CloudFormation 中创建 IAM 角色的信息，请参阅 AWS CloudFormation 用户指南中的资源和属性参考和示例。

有关 AWS CloudFormation 中的 IAM 模板的更多信息，请参阅AWS CloudFormation用户指南中的 AWS Identity and Access Management 模板代码段。