使用IAM角色將許可授與在 Amazon EC2 執行個體上執行的應用程式

在 Amazon 執行個EC2體上執行的應用程式必須包含 AWS 中的認證 AWS API請求。你可以有你的開發商商店 AWS 直接在 Amazon EC2 執行個體中登入資料，並允許該執行個體中的應用程式使用這些登入資 但是開發人員接著必須管理登入資料，並確保他們安全地將登入資料傳遞給每個執行個體，並在需要更新登入資料時更新每個 Amazon EC2 執行個體。這是許多額外的工作。

相反地，您可以而且應該使用IAM角色來管理在 Amazon 執行個EC2體上執行的應用程式的臨時登入資料。使用角色時，您不必將長期登入資料 (例如登入登入資料或存取金鑰) 散發到 Amazon EC2 執行個體。相反地，此角色會提供應用程式在呼叫其他應用程式時可以使用的暫時權限 AWS 的費用。啟動 Amazon EC2 執行個體時，您可以指定與執行個體建立關聯的IAM角色。然後，在執行個體上執行的應用程式可以使用角色提供的臨時登入資料來簽署API要求。

使用角色將許可授予在 Amazon 執行個體上EC2執行的應用程式需要一些額外的組態。Amazon EC2 執行個體上執行的應用程式摘要自 AWS 由虛擬化作業系統。由於這種額外的分離，您需要一個額外的步驟來指定 AWS 角色及其與 Amazon EC2 執行個體相關的許可，並提供給其應用程式使用。此額外步驟是建立連接到執行個體的執行個體設定檔。執行個體描述檔包含角色，可以將角色的臨時憑證提供給在執行個體上執行的應用程式。然後，這些臨時認證可以用於應用程序的訪問資源的API調用，並限制對角色指定的那些資源的訪問。

以這種方式使用角色有幾個好處。由於角色憑證是臨時的並且是自動更新的，因此您不需要管理憑證，也不必擔心長期的安全風險。此外，如果對多個執行個體使用單一角色，則可以對該角色進行變更，並將變更自動傳播到所有執行個體。

Amazon EC2 執行個體的角色如何運作？

在下圖中，開發人員在 Amazon 執行個體上執行應用程式，該EC2執行個體需要存取名為的 S3 儲存貯體amzn-s3-demo-bucket-photos。管理員建立Get-pics服務角色，並將角色附加到 Amazon EC2 執行個體。該角色包括許可政策，該政策授予對指定的 S3 儲存貯體的唯讀存取許可。它還包括一個信任政策，允許 Amazon EC2 執行個體擔任該角色並擷取臨時登入資料。當應用程式在執行個體上執行時，它可以使用角色的臨時憑證來存取照片儲存貯體。管理員不必授予開發人員存取照片儲存貯體的許可，開發人員也不必共用或管理憑證。

將角色與 Amazon 搭配使用所需的許可 EC2

若要啟動具有角色的執行個體，開發人員必須擁有啟動 Amazon EC2 執行個體的權限，以及傳遞IAM角色的權限。

下列範例策略允許使用者使用 AWS Management Console 以啟動具有角色的執行個體。該政策包括萬用字元 (*)，可讓使用者傳遞任何角色並執行列出的 Amazon EC2 動作。此ListInstanceProfiles動作可讓使用者檢視 AWS 帳戶.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "IamPassRole",
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "ec2.amazonaws.com"
                }
            }
        },
        {
            "Sid": "ListEc2AndListInstanceProfiles",
            "Effect": "Allow",
            "Action": [
                "iam:ListInstanceProfiles",
                "ec2:Describe*",
                "ec2:Search*",
                "ec2:Get*"
            ],
            "Resource": "*"
        }
    ]
}

限制可傳遞給 Amazon EC2 執行個體的角色 (使用 PassRole)

您可以使用該PassRole權限來限制使用者在使用者啟動執行個EC2體時可傳遞給 Amazon 執行個體的角色。這有助於防止使用者執行具有比授予使用者更多許可的應用程式，也就是說，能夠獲得更高的許可。例如，假設使用者愛麗絲只有啟動 Amazon EC2 執行個體和使用 Amazon S3 儲存貯體的許可，但她傳遞給 Amazon EC2 執行個體的角色具有IAM與 Amazon DynamoDB 合作的許可。在這種情況下，Alice 可能能夠啟動執行個體、登入該執行個體、取得臨時安全登入資料，然後執行IAM或未授權的 DynamoDB 動作。

若要限制使用者可傳遞給 Amazon EC2 執行個體的角色，請建立允許該PassRole動作的政策。然後將政策附加到將啟動 Amazon EC2 執行個體的使用者 (或使用者所屬的IAM群組)。在政策Resource元素中，您會列出允許使用者傳遞至 Amazon EC2 執行個體的一或多個角色。當使用者啟動執行個體並將角色與其關聯時，Amazon 會EC2檢查使用者是否允許傳遞該角色。當然，您也應當確保使用者可以傳遞的角色不包含比使用者應具有的許可更多的許可。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "ec2:RunInstances",
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": "iam:PassRole",
      "Resource": "arn:aws:iam::account-id:role/Get-pics"
    }
  ]
}

允許執行個體設定檔角色切換到另一個帳戶中的角色

您可以允許在 Amazon 執行個EC2體上執行的應用程式在另一個帳戶中執行命令。若要執行此操作，您必須允許第一個帳戶中的 Amazon EC2 執行個體角色切換到第二個帳戶中的角色。

想像一下，你正在使用兩個 AWS 帳戶 並且您希望允許在 Amazon EC2 實例上運行的應用程序運行 AWS CLI兩個帳戶中的命令。假設 Amazon 實EC2例存在於帳戶中111111111111。該執行個體包含 abcd 執行個體描述檔角色，該角色會允許應用程式在相同 111111111111 帳戶中對 amzn-s3-demo-bucket1 儲存貯體執行唯讀 Amazon S3 任務。不過，也必須允許應用程式擔任 efgh 跨帳戶角色來在帳戶 222222222222 中存取 amzn-s3-demo-bucket2Amazon S3 儲存貯體。

abcdAmazon EC2 執行個體設定檔角色必須具有下列許可政策，才能允許應用程式存取 amzn-s3-demo-bucket1 Amazon S3 儲存貯體：

帳戶 111111111111 abcd 角色許可政策

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowAccountLevelS3Actions",
            "Effect": "Allow",
            "Action": [
                "s3:GetBucketLocation",
                "s3:GetAccountPublicAccessBlock",
                "s3:ListAccessPoints",
                "s3:ListAllMyBuckets"
            ],
            "Resource": "arn:aws:s3:::*"
        },
        {
            "Sid": "AllowListAndReadS3ActionOnMyBucket",
            "Effect": "Allow",
            "Action": [
                "s3:Get*",
                "s3:List*"
            ],
            "Resource": [
                "arn:aws:s3:::amzn-s3-demo-bucket1/*",
                "arn:aws:s3:::amzn-s3-demo-bucket1"
            ]
        },
        {
            "Sid": "AllowIPToAssumeCrossAccountRole",
            "Effect": "Allow",
            "Action": "sts:AssumeRole",
            "Resource": "arn:aws:iam::222222222222:role/efgh"
        }
    ]
}

該abcd角色必須信任 Amazon EC2 服務才能擔任該角色。若要執行此操作，abcd 角色必須有以下信任政策：

帳戶 111111111111 abcd 角色信任政策

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "abcdTrustPolicy",
            "Effect": "Allow",
            "Action": "sts:AssumeRole",
            "Principal": {"Service": "ec2.amazonaws.com"}
        }
    ]
}

假設 efgh 跨帳戶角色允許在相同 222222222222 帳戶中對 amzn-s3-demo-bucket2 儲存貯體的唯讀 Amazon S3 任務。若要執行此操作，efgh 跨帳戶角色必須有以下許可政策：

帳戶 222222222222 efgh 角色許可政策

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowAccountLevelS3Actions",
            "Effect": "Allow",
            "Action": [
                "s3:GetBucketLocation",
                "s3:GetAccountPublicAccessBlock",
                "s3:ListAccessPoints",
                "s3:ListAllMyBuckets"
            ],
            "Resource": "arn:aws:s3:::*"
        },
        {
            "Sid": "AllowListAndReadS3ActionOnMyBucket",
            "Effect": "Allow",
            "Action": [
                "s3:Get*",
                "s3:List*"
            ],
            "Resource": [
                "arn:aws:s3:::amzn-s3-demo-bucket2/*",
                "arn:aws:s3:::amzn-s3-demo-bucket2"
            ]
        }
    ]
}

efgh 角色必須信任 abcd 執行個體設定檔角色擔任該角色。若要執行此操作，efgh 角色必須有以下信任政策：

帳戶 222222222222 efgh 角色信任政策

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "efghTrustPolicy",
            "Effect": "Allow",
            "Action": "sts:AssumeRole",
            "Principal": {"AWS": "arn:aws:iam::111111111111:role/abcd"}
        }
    ]
}

我該如何開始？

若要瞭解角色如何與 Amazon EC2 執行個體搭配使用，您需要使用IAM主控台建立角色、啟動使用該角色的 Amazon EC2 執行個體，然後檢查執行中的執行個體。您可以檢查執行個體中繼資料以查看角色的暫時憑證如何可用於執行個體。您還可以查看在執行個體上執行的應用程式如何使用該角色。使用以下資源以進一步了解。

相關資訊

如需為 Amazon EC2 執行個體建立角色或角色的詳細資訊，請參閱下列資訊：