AWS 安全登入資料 - AWS Identity and Access Management
安全考量

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

AWS 安全登入資料

當您與 AWS 互動時，您可以指定您的 AWS 安全登入資料 來驗證您的身分，以及您是否有權存取您所請求的資源。AWS 使用安全登入資料來驗證和授權您的請求。

例如，如果要從 Amazon Simple Storage Service (Amazon S3) 儲存貯體下載受保護的檔案，您的憑證必須允許此存取動作。如果您的憑證沒有顯示您有權下載檔案，AWS 會拒絕您的請求。不過，在公開共用的 Amazon S3 儲存貯體中下載檔案不需要 AWS 安全憑證。

AWS 中有不同類型的使用者，每個使用者都有自己的安全憑證：

  • 帳戶擁有者 (根使用者)：建立 AWS 帳戶並擁有完整存取權的使用者。

  • AWS IAM Identity Center 使用者：在 AWS IAM Identity Center 中管理的使用者。

  • 聯合身分使用者：來自外部身分提供者的使用者，他們透過聯合獲得 AWS 的臨時存取權。如需聯合身分的詳細資訊，請參閱 身分提供者與聯合。

  • IAM 使用者：在 AWS Identity and Access Management (IAM) 服務中建立的個別使用者。

使用者擁有長期或暫時安全憑證。根使用者、IAM 使用者和存取金鑰具有不會過期的長期安全憑證。若要保護長期憑證，您應有現成的程序以管理存取金鑰、變更密碼和啟用 MFA。

若要簡化 AWS Organizations 中跨成員帳戶的根使用者憑證管理，您可以集中保護使用 AWS Organizations 管理的 AWS 帳戶的根使用者憑證。集中管理成員帳戶的根存取權 可讓您集中移除和防止長期根使用者憑證復原，防止大規模的意外根存取。

IAM 角色、AWS IAM Identity Center 的使用者 和聯合身分使用者具有暫時安全憑證。暫時安全憑證會在定義的一段時間或使用者結束工作階段後過期。暫時憑證的作用幾乎與長期憑證完全相同，而其差異如下：

  • 暫時安全憑證是「短期」的，如其名稱所暗示。其可設定為在任何地方持續幾分鐘到幾小時不等。在憑證到期後，AWS 不再辨識它們，或允許從 API 請求對其進行的任何類型的存取。

  • 暫時性安全憑證不會與使用者一起儲存，但會動態產生並在請求時提供給使用者。當暫時性安全憑證到期時 (或者即使在此之前)，使用者可以請求新的憑證，只要使用者的請求仍具有可這麼做的許可。

因此，相較於長期憑證，暫時性憑證具有下列優點：

  • 您不必隨應用程式散發或內嵌長期 AWS 安全憑證。

  • 您可以提供 AWS 資源存取給使用者，而不必為其定義 AWS 身分。暫時憑證是角色和聯合身分的基礎。

  • 臨時安全憑證的存留期有限，因此當不再需要時，您不需要更新它們或明確予以撤銷。暫時性安全憑證到期之後，就無法重複使用。您可以指定憑證的有效期，達到最長限制。

安全考量

建議您在決定適用於 AWS 帳戶 的安全規定時，考量下列資訊：

  • 當您建立 AWS 帳戶 時，我們會建立帳戶根使用者。根使用者 (帳戶擁有者) 的憑證可以完整存取帳戶中的所有資源。您對根使用者執行的第一項任務是為 AWS 帳戶 授予其他使用者管理許可，以便將根使用者的使用量降到最低。

  • 多重要素驗證 (MFA) 為可以存取 AWS 帳戶 的使用者提供多一層級的安全防護。若要提升安全性，我們建議您要求對 AWS 帳戶根使用者 憑證和所有 IAM 使用者進行 MFA。如需詳細資訊，請參閱AWS IAM 中的多重要素驗證。

  • AWS 需要不同類型的安全憑證，具體取決於您存取 AWS 的方式以及您是哪種 AWS 使用者類型。例如，在使用存取金鑰對 AWS 進行程式設計呼叫時，使用 AWS Management Console 的登入憑證。如需有關判斷使用者類型和登入頁面的說明，請參閱 AWS 登入 User Guide 中的 What is AWS Sign-In。

  • 您無法使用 IAM 政策來明確拒絕根使用者存取權。您只能使用 AWS Organizations 服務控制政策 (SCP) 來限制根使用者的許可。

  • 如果您忘記或遺失根使用者密碼，則必須擁有與您帳戶相關聯之電子郵件地址的存取權，才能重設密碼。

  • 如果遺失根使用者存取金鑰，則您必須能夠以根使用者身分登入您的帳戶，才能建立新的金鑰。

  • 請勿將您的根使用者用於日常任務。請將其用來執行只能由根使用者執行的任務。如需檢視需要您以根使用者身分登入的任務完整清單，請參閱 需要根使用者憑證的任務。

  • 安全登入資料是帳戶專屬的資料。如果您可以存取多個 AWS 帳戶，則每個帳戶都有單獨憑證。

  • 政策會決定使用者、角色或使用者群組成員可以對哪些 AWS 資源執行什麼動作，以及在哪些情況下執行。使用政策可安全地控制對 AWS 帳戶 中 AWS 服務 與資源的存取權限。如果您必須修改或撤銷許可以回應安全性事件，則您可以刪除或修改政策，而不是直接變更身分。

  • 請務必將緊急存取 IAM 使用者的登入憑證，以及為程式設計存取而建立的任何存取金鑰儲存在安全的位置。如果您遺失存取金鑰，則必須登入帳戶建立新金鑰。

  • 強烈建議您使用 IAM 角色和聯合身分使用者提供的暫時憑證，而不要使用 IAM 使用者和存取金鑰提供的長期憑證。