View a markdown version of this page

创建角色并分配权限 - AWS Control Tower
防范攻击者

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

创建角色并分配权限

角色和权限允许您访问 AWS Control Tower 和其他 AWS 服务中的资源，包括以编程方式访问资源。

要提供访问权限，请为您的用户、组或角色添加权限：

有关使用 IAM 委托权限的更多信息，请参阅《IAM 用户指南》中的访问权限管理。

注意

设置 AWS 控制塔着陆区时，您需要拥有AdministratorAccess托管策略的用户或角色。（arn: aws: iam:: aws:）policy/AdministratorAccess

为角色创建角色 AWS 服务 （IAM 控制台）

  1. 登录 AWS 管理控制台 并打开 IAM 控制台，网址为https://console.aws.amazon.com/iam/。

  2. 在 IAM 控制台的导航窗格中，选择角色，然后选择创建角色。

  3. 对于 Trusted entity type（可信实体类型），选择 AWS 服务。

  4. 对于服务或使用案例，请选择服务，然后选择使用案例。用例由服务定义以包含服务要求的信任策略。

  5. 选择下一步。

  6. 对于权限策略，选项取决于您选择的使用案例：

    • 如果服务定义了角色的权限，则您无法选择权限策略。

    • 从一组有限的权限策略中进行选择。

    • 从所有权限策略中进行选择。

    • 不选择任何权限策略，创建角色后创建策略，然后将这些策略附加到该角色。

  7. （可选）设置权限边界。这是一项高级功能，可用于服务角色，但不可用于服务相关角色。

    1. 打开设置权限边界部分，然后选择使用权限边界控制最大角色权限。

      IAM 包含您账户中的 AWS 托管策略和客户管理策略列表。

    2. 选择要用于权限边界的策略。

  8. 选择下一步。

  9. 对于角色名称，选项取决于服务：

    • 如果服务定义角色名称，则您无法编辑角色名称。

    • 如果服务定义角色名称的前缀，您可以输入可选的后缀。

    • 如果服务未定义角色名称，您可以为该角色命名。

      重要

      命名角色时，请注意以下事项：

      • 您的角色名称必须是唯一的 AWS 账户，并且不能因大小写而成为唯一的。

        例如，不要同时创建名为 PRODROLE 和 prodrole 的角色。当角色名称在策略中使用或者作为 ARN 的一部分时，角色名称区分大小写，但是当角色名称在控制台中向客户显示时（例如，在登录期间），角色名称不区分大小写。

      • 创建角色后，您无法编辑该角色的名称，因为其他实体可能会引用该角色。

  10. （可选）对于描述，输入角色的描述。

  11. （可选）要编辑角色的使用案例和权限，请在步骤 1：选择可信实体或步骤 2：添加权限部分中选择编辑。

  12. （可选）为了帮助识别、组织或搜索角色，请以键值对形式添加标签。有关在 IAM 中使用标签的更多信息，请参阅 IAM 用户指南中的 AWS Identity and Access Management 资源标签。

  13. 检查该角色，然后选择创建角色。

使用 JSON 策略编辑器创建策略

  1. 登录 AWS 管理控制台 并打开 IAM 控制台，网址为https://console.aws.amazon.com/iam/。

  2. 在左侧的导航窗格中，选择策略。

    如果这是您首次选择策略，则会显示欢迎访问托管式策略页面。选择开始使用。

  3. 在页面的顶部，选择创建策略。

  4. 在策略编辑器部分，选择 JSON 选项。

  5. 输入或粘贴一个 JSON 策略文档。有关 IAM 策略语言的详细信息，请参阅 IAM JSON 策略参考。

  6. 解决策略验证过程中生成的任何安全警告、错误或常规警告，然后选择下一步。

    注意

    您可以随时在可视化和 JSON 编辑器选项卡之间切换。不过，如果您进行更改或在可视化编辑器中选择下一步，IAM 可能会调整策略结构以针对可视化编辑器进行优化。有关更多信息，请参阅《IAM 用户指南》中的调整策略结构。

  7. （可选）当您在中创建或编辑策略时 AWS 管理控制台，您可以生成可在模板中使用的 JSON 或 YAML 策略 CloudFormation 模板。

    为此，请在策略编辑器中选择 “操作”，然后选择 “生成 CloudFormation模板” 。要了解更多信息 CloudFormation，请参阅《AWS CloudFormation 用户指南》中的AWS Identity and Access Management 资源类型参考。

  8. 向策略添加完权限后，选择下一步。

  9. 在查看并创建页面上，为您要创建的策略键入策略名称和描述（可选）。查看此策略中定义的权限以查看策略授予的权限。

  10. （可选）通过以密钥值对的形式附加标签来向策略添加元数据。有关在 IAM 中使用标签的更多信息，请参阅 IAM 用户指南中的 AWS Identity and Access Management 资源标签。

  11. 选择创建策略可保存您的新策略。

使用可视化编辑器创建策略

  1. 登录 AWS 管理控制台 并打开 IAM 控制台，网址为https://console.aws.amazon.com/iam/。

  2. 在左侧的导航窗格中，选择策略。

    如果这是您首次选择策略，则会显示欢迎访问托管式策略页面。选择开始使用。

  3. 选择创建策略。

  4. 在策略编辑器部分中，找到选择一项服务部分，然后选择 AWS 服务服务。您可以使用顶部的搜索框限制服务列表中的结果。您只能在一个可视化编辑器权限块中选择一个服务。要为多个服务授予访问权限，请选择添加更多权限以添加多个权限块。

  5. 对于允许的操作，选择要添加到策略的操作。您可以使用以下方法选择操作：

    • 选中所有操作的复选框。

    • 选择添加操作以键入特定操作的名称。您可以使用通配符（*）指定多个操作。

    • 选择访问级别组之一以选择访问级别的所有操作（例如，读取、写入或列出）。

    • 展开每个访问级别组以选择单独的操作。

    预设情况下，您创建的策略允许执行选择的操作。要拒绝选择的操作，请选择切换到拒绝权限。由于 IAM 默认拒绝，作为安全最佳实践，我们建议您仅允许用户所需的操作和资源的权限。只有在要覆盖由其他语句或策略单独允许的权限时，才应创建 JSON 语句以拒绝权限。我们建议您将拒绝权限数限制为最低，因为它们可能会增加解决权限问题的难度。

  6. 对于资源，如果您在前面步骤中选择的服务和操作不支持选择特定资源，则允许使用所有资源，并且您无法编辑此部分。

    如果您选择了一个或多个操作支持资源级权限，可视化编辑器会列出这些资源。然后，展开资源以指定您的策略的资源。

    您可以通过以下方式指定资源：

    • 选择添加 ARN，通过 Amazon 资源名称（ARN）指定资源。您可以使用可视化 ARN 编辑器或手动列出 ARN。有关 ARN 语法的更多信息，请参阅《IAM 用户指南》中的 Amazon 资源名称（ARN）。有关在策略的 Resource 元素中使用 ARN 的信息，请参阅《IAM 用户指南》中的 IAM JSON 策略元素：Resource。

    • 选择资源旁边的此账户中的任意项以授予对该类型的任何资源的权限。

    • 选择所有以选择该服务的所有资源。

  7. （可选）选择请求条件 – 可选，以在创建的策略中添加条件。条件限制 JSON 策略语句的效果。例如，您可以指定仅在以下情况下允许用户对资源执行操作：该用户的请求发生在特定的时间范围内。您还可以使用常用条件来限制用户是否必须使用多重身份验证（MFA）设备进行身份验证。或者，您可以要求请求来自特定范围的 IP 地址。有关可以在策略条件中使用的所有上下文密钥的列表，请参阅《服务授权参考》中的 AWS 服务操作、资源和条件密钥。

    您可以使用以下方法选择条件：

    • 使用复选框选择常用的条件。

    • 选择添加其他条件以指定其他条件。选择条件的条件键、限定符和运算符，然后键入一个值。要添加多个值，请选择添加。您可以将这些值视为通过逻辑 OR 运算符连接在一起。完成后，选择添加条件。

    要添加多个条件，请再次选择添加其他条件。根据需要重复上述步骤。每个条件仅适用于该可视化编辑器权限块。所有条件都必须为 true，才会将权限块视为匹配项。也就是说，将条件视为通过逻辑 AND 运算符连接在一起。

    有关 Condition 元素的更多信息，请参阅《IAM 用户指南》中的 IAM JSON 策略元素：Condition。

  8. 要添加更多权限块，请选择添加更多权限。对于每个块，重复步骤 2 到步骤 5。

    注意

    您可以随时在可视化和 JSON 编辑器选项卡之间切换。不过，如果您进行更改或在可视化编辑器中选择下一步，IAM 可能会调整策略结构以针对可视化编辑器进行优化。有关更多信息，请参阅《IAM 用户指南》中的调整策略结构。

  9. （可选）当您在中创建或编辑策略时 AWS 管理控制台，您可以生成可在模板中使用的 JSON 或 YAML 策略 CloudFormation 模板。

    为此，请在策略编辑器中选择 “操作”，然后选择 “生成 CloudFormation模板” 。要了解更多信息 CloudFormation，请参阅《AWS CloudFormation 用户指南》中的AWS Identity and Access Management 资源类型参考。

  10. 向策略添加完权限后，选择下一步。

  11. 在查看并创建页面上，为您要创建的策略键入策略名称和描述（可选）。查看此策略中定义的权限，确保您授予了所需的权限。

  12. （可选）通过以密钥值对的形式附加标签来向策略添加元数据。有关在 IAM 中使用标签的更多信息，请参阅 IAM 用户指南中的 AWS Identity and Access Management 资源标签。

  13. 选择创建策略可保存您的新策略。

授予编程访问权限

如果用户想在 AWS 外部进行交互，则需要编程访问权限 AWS 管理控制台。授予编程访问权限的方式取决于正在访问的用户的类型 AWS。

要向用户授予编程式访问权限，请选择以下选项之一。

哪个用户需要编程式访问权限？ 目的 方式
IAM （推荐）使用控制台证书作为临时证书，对向 AWS CLI、 AWS SDK 或 AWS API 的编程请求进行签名。

按照您希望使用的界面的说明进行操作。

  • 有关信息 AWS CLI，请参阅《AWS Command Line Interface 用户指南》中的登录进行 AWS 本地开发。

  • 对于 AWS SDK，请参阅 S AWS DK 和工具参考指南中的登录进行 AWS 本地开发。

人力身份

（在 IAM Identity Center 中管理的用户）

 使用临时证书签署对 AWS CLI、 AWS SDK 或 AWS API 的编程请求。

按照您希望使用的界面的说明进行操作。

  • 有关信息 AWS CLI，请参阅《 AWS CLI AWS Command Line Interface 用户指南》 AWS IAM Identity Center中的 “配置使用” 。

  • 有关 AWS 软件开发工具包、工具和 AWS API，请参阅软件开发工具包和AWS 工具参考指南中的 IAM 身份中心身份验证。
IAM 使用临时证书签署对 AWS CLI、 AWS SDK 或 AWS API 的编程请求。 按照 IAM 用户指南中使用临时证书和 AWS 资源中的说明进行操作。
IAM

（不推荐使用）

使用长期证书签署对 AWS CLI、 AWS SDK 或 AWS API 的编程请求。

按照您希望使用的界面的说明进行操作。

  • 有关信息 AWS CLI，请参阅用户指南中的使用 IAM 用户证书进行身份验证。 AWS Command Line Interface

  • 有关 AWS SDK 和工具，请参阅《软件开发工具AWS 包和工具参考指南》中的使用长期凭证进行身份验证。

  • 对于 AWS API，请参阅 IAM 用户指南中的管理 IA M 用户的访问密钥。

防范攻击者

有关在向其他 AWS 服务主体授予权限时如何帮助防范攻击者的更多信息，请参阅角色信任关系https://docs.aws.amazon.com/controltower/latest/userguide/conditions-for-role-trust.html的可选条件。通过在策略中添加某些条件，您可以帮助防止某种特定类型的攻击，即混淆代理攻击，当某个实体迫使更有权限的实体执行某个操作（例如跨服务模拟）时，就会发生此类攻击。有关策略条件的一般信息，请参阅 在策略中指定条件。

有关将基于身份的策略与 AWS Control Tower 结合使用的更多信息，请参阅 在 AWS Control Tower 中使用基于身份的策略（IAM 策略）。有关用户、组、角色和权限的更多信息，请参阅《IAM 用户指南》https://docs.aws.amazon.com/IAM/latest/UserGuide/id.html中的身份（用户、组和角色）。