本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

# 以操作系统专用用户身份运行作业
<a name="job-run-as-user"></a>

每个队列可以指定一个操作系统 (OS) 用户及其主组，即以用户身份运行的作业。工作器代理以该操作系统用户身份运行提交到队列的每个作业进程，因此这些作业继承该用户的操作系统权限，包括对工作服务器主机上的文件和其他资源的访问权限。

为队列用户提供队列工作负载所需的最低权限操作系统权限。每个队列都有专门的用户将作业的文件和进程与其他队列中的作业、其他已安装的软件以及有权访问工作主机的其他用户分开。

两种队列类型对队列用户的处理方式不同：
+ 在客户管理的队列中，您可以在工作主机上创建操作系统用户。除非队列处于相同的安全边界内，否则为每个队列使用单独的用户。
+ 在服务托管队列中，该服务管理工作主机，并且所有作业都以单个操作系统用户身份运行。主机专用于您的账户，并且仅运行您与队列关联的队列中的作业，因此您可以通过为队列分配单独的队列而不是单独的用户来区分队列。

当队列未指定用户时，其作业将以工作代理用户身份运行。工作代理用户可以模仿 (`sudo`) 任何队列用户，因此没有用户的队列可以将权限升级到任何其他队列的用户和数据。

在客户管理的队列中，工作代理强制执行具有操作系统权限的队列用户之间的界限。代理创建每个会话的工作目录，以便只有代理用户和作业用户的主组才能访问该目录。代理还将每个队列的角色凭证存储在具有相同访问限制的队列特定目录中。当每个队列都有自己的用户和主组时，一个作业无法读取另一个队列的会话文件或 AWS 凭据。

共享内核上的标准操作系统用户权限将共享工作主机上的用户队列分开。为需要更强隔离的工作负载（例如虚拟机隔离）提供自己的队列。