创建工作职能权限集 - AWS IAM Identity Center
创建应用最低权限的权限集

创建工作职能权限集

权限集存储在 IAM Identity Center 中，定义用户和组对 AWS 账户 的访问级别。您最先创建的权限集应该是管理权限集。如果您完成了任意一套 IAM Identity Center 身份源教程，则表示您已经创建了管理权限集。按《IAM 用户指南》中工作职能的 AWS 托管策略主题所述，使用此过程创建权限集。

  1. 请执行以下任一操作，登录 AWS Management Console。

    • AWS 新用户（根用户）– 通过选择根用户并输入您的 AWS 账户 电子邮件地址，以帐户所有者身份登录。在下一页，输入您的密码。

    • 已经在使用 AWS（IAM 凭证）– 使用具有管理权限的 IAM 凭证登录。

  2. 打开 IAM Identity Center 控制台。

  3. 在 IAM Identity Center 导航窗格的多帐户权限下，选择权限集。

  4. 选择创建权限集。

    1. 在选择权限集类型页面的权限集类型部分，选择预定义的权限集。

    2. 在预定义权限集的策略部分，选择以下选项之一：

      • AdministratorAccess

      • Billing

      • DatabaseAdministrator

      • DataScientist

      • NetworkAdministrator

      • PowerUserAccess

      • ReadOnlyAccess

      • SecurityAudit

      • SupportUser

      • SystemAdministrator

      • ViewOnlyAccess

  5. 在指定权限集详细信息页面上，保留默认设置并选择下一步。默认设置将您的会话限制为一小时。

  6. 在查看并创建页面上，确认以下信息：

    1. 对于步骤 1：选择权限集类型，显示所选权限集类型。

    2. 对于步骤 2：定义权限集详细信息，显示所选权限集名称。

    3. 选择创建。

创建应用最低权限的权限集

要遵循应用最低权限的最佳实践，请在创建管理权限集之后，创建一个限制性更强的权限集并将其分配给一个或多个用户。在之前过程中创建的权限集将提供一个起点，让您评估为用户访问所需的资源分配多少访问权限。要切换到最低权限，您可以运行 IAM Access Analyzer，以使用 AWS 托管策略监控主体。了解他们使用的权限后，您可以编写自定义策略或生成仅包含团队所需权限的策略。

借助 IAM Identity Center，您可以为同一个用户分配多个权限集。您还应该为管理用户分配其他限制性更强的权限集。这样，他们就可以仅使用所需的权限访问您的 AWS 账户，而不是始终使用管理权限。

例如，如果您是一名开发人员，在 IAM Identity Center 中创建管理用户后，您可以创建一个授予 PowerUserAccess 权限的新权限集，然后将该权限集分配给您自己。不同于使用 AdministratorAccess 权限的管理权限集，PowerUserAccess 权限集不允许管理 IAM 用户和组。登录 AWS 访问门户访问您的 AWS 帐户时，您可以选择 PowerUserAccess 而不是 AdministratorAccess ，以便在帐户中执行开发任务。

请注意以下事项：

  • 要快速开始创建限制性更强的权限集，请使用预定义的权限集而不是自定义权限集。

    借助使用预定义权限的预定义权限集，您可以从可用策略列表中选择单个 AWS 管理型策略。每项策略都授予对 AWS 服务和资源的特定级别的访问权限或针对常见工作职能的权限。有关每项策略的信息，请参阅针对工作职能的 AWS 管理型策略。

  • 您可以为权限集配置会话持续时间，以控制用户登录 AWS 账户的时间长度。

    当用户联合到他们的 AWS 账户 并使用 AWS 管理控制台或 AWS 命令行界面 (AWS CLI) 时，IAM Identity Center 会使用权限集上的会话持续时间设置来控制会话的持续时间。默认情况下，会话持续时间的值设置为一小时，该值决定了 AWS 将用户退出会话之前用户可以登录 AWS 账户 的时长。可以将最大值指定为 12 小时。有关更多信息，请参阅 设置 AWS 账户 的会话持续时间。

  • 您还可以配置 AWS 访问门户会话持续时间，以控制员工用户登录门户的时长。

    默认情况下，最长会话持续时间的值为八小时，该值决定了员工用户在必须重新进行身份验证之前可以登录 AWS 访问门户的时长。可以将最大值指定为 90 天。有关更多信息，请参阅 配置 AWS 访问门户和 IAM Identity Center 集成应用程序的会话持续时间。

  • 登录 AWS 访问门户时，选择提供最低权限的角色。

    您创建并分配给用户的每个权限集在 AWS 访问门户中都会显示为可用角色。当您以该用户身份登录门户时，请选择与可用于在帐户中执行任务的最严格的权限集相对应的角色，而不是 AdministratorAccess。

  • 您可以将其他用户添加到 IAM Identity Center，并为这些用户分配现有或新的权限集。

    有关信息，请参阅为组分配 AWS 账户 访问权限。