IAM 角色

您可以在具有特定許可的帳戶中建立的IAM身分。IAM 角色與IAM使用者有一些相似之處。角色和使用者都是具備許可政策的 AWS 身分，可決定身分在 AWS中可執行和不可執行的操作。但是，角色的目的是讓需要它的任何人可代入，而不是單獨地與某個人員關聯。此外，角色沒有與之關聯的標準長期憑證，例如密碼或存取金鑰。反之，當您擔任角色時，其會為您的角色工作階段提供臨時安全性憑證。

角色可以由下列人員擔任：

服務角色是服務代表您執行動作時擔任IAM的角色。IAM 管理員可以從 內部建立、修改和刪除服務角色IAM。如需詳細資訊，請參閱 使用者指南 中的建立角色以將許可委派給 AWS 服務 。 IAM

服務連結角色是連結至 的服務角色類型 AWS 服務。服務可以擔任代表您執行動作的角色。服務連結角色會顯示在您的 中 AWS 帳戶 ，並由 服務擁有。IAM 管理員可以檢視，但不能編輯服務連結角色的許可。

如需哪些服務支援使用服務連結角色的資訊，請參閱 AWS 使用 的 服務 IAM，並尋找 Service-Linked Role (服務連結角色) 欄中顯示 Yes (是) 的服務。選擇具有連結的 Yes (是)，以檢視該服務的服務連結角色文件。如需詳細資訊，請參閱建立服務連結角色。

角色鏈結是指使用角色透過 AWS CLI 或 擔任第二個角色API。例如，RoleA 擁有擔任 RoleB 的許可。您可以在 操作中使用RoleA其長期使用者憑證，以啟用 User1 AssumeRole API擔任 。這會傳回 RoleA 短期憑證。透過角色鏈結，您可以使用 RoleA 的短期憑證，啟用 User1 擔任 RoleB。

當您擔任角色時，您可以傳遞工作階段標籤，並將標籤設為可轉移。可轉移工作階段標籤會傳遞到角色鏈中所有的後續工作階段。若要進一步了解工作階段標籤，請參閱 在 中傳遞工作階段標籤 AWS STS。

角色鏈結將您的 AWS CLI 或 AWS API角色工作階段限制為最多一小時。當您使用 AssumeRoleAPI操作擔任角色時，您可以使用 DurationSeconds 參數指定角色工作階段的持續時間。您可以指定參數值高達 43200 秒 (12 小時)，這取決於您角色的最大工作階段持續時間設定 。然而，如果在您使用角色鏈結來擔任角色時，並提供大於一小時的 DurationSeconds 參數值，則操作失敗。

授予許可給某人，以允許存取您控制的資源。委派涉及設定兩個帳戶間的信任。第一個是擁有資源的帳戶 (信任帳戶)。第二個是包含需要存取資源使用者的帳戶 (受信任帳戶)。受信任帳戶和信任帳戶可以是以下任何一個：

若要委派存取資源的許可，您可以在已連接兩個政策的信任帳戶中建立IAM角色。許可政策會授予角色的使用者所需的許可，以對資源執行預定的任務。信任政策會指定允許哪些受信任帳戶成員可擔任角色。

建立信任政策時，您無法在主體元素ARN中指定萬用字元 （*） 作為 和 的一部分。信任政策會連接到信任帳戶中的角色，並且是許可的二分之一。另外一半是連接到受信任帳戶中使用者的許可政策，其允許切換為該使用者或擔任該角色 。擔任角色的使用者會暫時放棄其自己的許可，改為接受該角色的許可。當使用者退出或停止使用該角色時，會恢復原有的使用者許可。其他稱為外部 ID 的參數有助於確保在不是由相同組織控制的帳戶之間安全使用角色。

您可以在其中定義您信任擔任角色的委託人JSON的政策文件。角色信任政策是連接至 中角色的必要資源型政策IAM。您在信任政策中可指定的主體包含使用者、角色、帳戶和服務。

將一個帳戶中的資源存取權，授予不同帳戶中受信任主體的角色。角色是授予跨帳戶存取的主要方式。不過，某些 AWS 服務可讓您將政策直接連接至資源 （而不是使用角色做為代理）。這些稱為資源型政策，您可以使用它們來授予資源的其他 AWS 帳戶 存取權中的主體。其中一些資源包括 Amazon Simple Storage Service （S3） 儲存貯體、S3 Glacier 保存庫、Amazon Simple Notification Service （SNS） 主題和 Amazon Simple Queue Service （SQS） 佇列。若要了解哪些服務支援以資源為基礎的政策，請參閱 AWS 使用 的 服務 IAM。如需有關以資源為基礎的政策詳細資訊，請參閱 中的跨帳戶資源存取 IAM。