本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

比較IAM身分和憑證

在 中管理的身分 AWS Identity and Access Management 是IAM使用者、IAM角色和IAM群組。這些身分是與您的 一起 AWS 建立的根使用者之外的身分 AWS 帳戶。

強烈建議您不要以根使用者處理日常作業，即使是管理作業。相反地，請佈建其他使用者，並授予他們執行必要任務所需的許可。您可以透過將人員新增至 IAM Identity Center 目錄、將外部身分提供者與 IAM Identity Center 聯合IAM或建立最低權限使用者來新增IAM使用者。

為了提高安全性，建議您集中存取根，以協助您使用 集中保護 AWS 帳戶 受管 的根使用者憑證 AWS Organizations。 集中管理成員帳戶的根存取權可讓您集中移除和防止長期根使用者憑證復原，防止大規模存取非預期的根。啟用集中式根存取後，您可以擔任特殊權限工作階段，對成員帳戶執行動作。

設定使用者後，您可以將 的存取權授予特定人員 AWS 帳戶 ，並提供他們存取 資源的許可。

作為最佳實務， AWS 建議您要求人類使用者擔任 IAM 角色來存取 ， AWS 以便他們使用臨時憑證。如果您要管理 IAM Identity Center 目錄中的身分，或與身分提供者聯合使用身分，請遵循最佳實務。

條款

使用IAM身分時，通常使用下列詞彙：

IAM Identity Center 中的IAM使用者與使用者之間的差異

IAM 使用者不是獨立的帳戶，而是您帳戶中的個別使用者。每個使用者都有自己的密碼來存取 AWS Management Console。您也可以為每個使用者建立個別的存取金鑰，讓使用者能利用程式設計方式提出請求，進而能使用您帳戶中的資源。

IAM 使用者及其存取金鑰對您的 AWS 資源具有長期憑證。IAM 使用者的主要用途是讓無法使用IAM角色的工作負載能夠使用 API或 對 AWS 服務提出程式設計請求CLI。

人力身分 （人員） 具有不同的許可需求AWS IAM Identity Center 的使用者，取決於他們所執行的角色，並且可以 AWS 帳戶 跨組織進行各種工作。如果您有需要存取金鑰的使用案例，您可以使用 支援這些使用案例 AWS IAM Identity Center 的使用者。透過 AWS 存取入口網站登入的人員可以取得具有 AWS 資源短期憑證的存取金鑰。對於集中式存取管理，我們建議您使用 AWS IAM Identity Center （IAM Identity Center） 來管理對這些帳戶中帳戶的存取和許可。IAM Identity Center 會自動設定為 Identity Center 目錄作為您的預設身分來源，您可以在其中新增人員和群組，並指派其對 AWS 資源的存取層級。如需詳細資訊，請參閱 AWS IAM Identity Center 使用者指南中的什麼是 AWS IAM Identity Center。

這兩種類型的使用者的主要區別在於， IAM Identity Center 中的使用者在存取管理主控台或 AWS 資源 AWS 之前，會自動擔任登入 IAM 的角色。IAM 角色會在每次使用者登入 時授予臨時憑證 AWS。若要IAM讓使用者使用IAM角色登入，他們必須擁有擔任和切換角色的許可，而且必須在存取 AWS 帳戶後明確選擇切換至想要擔任的角色。

從現有身分來源聯合使用者

如果組織中的使用者在登入公司網路時已進行身分驗證，則您不需要在 IAM Identity Center 中為他們建立個別IAM使用者或使用者。反之，您可以使用 AWS IAM或 將這些使用者身分聯合到 AWS IAM Identity Center。聯合身分使用者擔任IAM的角色會授予他們存取特定資源的許可。如需角色的詳細資訊，請參閱角色術語和概念。

在這些情況下，聯合很有用：

提供使用者存取權的不同方法

以下是您可以提供 AWS 資源存取權的方式。

支援程式設計使用者存取

如果使用者想要與 AWS 外部互動，則需要程式設計存取權 AWS Management Console。授予程式設計存取權的方式取決於存取 的使用者類型 AWS：

若要授予使用者程式設計存取權，請選擇下列其中一個選項。