IAM 角色与用户 - 最佳实践

Question

我支持 10 名开发人员。这些开发人员在所谓的小队和部落（如 Spotify）中是分开的。因此，每个部落（就像一组共享共同任务的用户）都需要一组 AWS 资源的权限。当开发人员部署应用程序时，例如在 Ec2 实例中，它承担 ec2 实例的角色。当此开发人员使用他的开发机器测试和开发应用程序时，他需要访问 aws 资源，例如 ec2 实例。那么正确的做法是什么：像用户或组一样授予此开发人员权限，还是让他担任像 ec2 实例这样的角色？

Answer 1

如果开发者在本地开发，他们只能使用 IAM 用户/组权限。他们不能担任角色，因为他们不在 EC2 实例上。因此，假设他们都属于一个名为 Developer 的 IAM 组。

对于开发人员组，您授予他们开发所需的一组托管或自定义策略。假设他们拥有 IAM 策略 p1, p2, p3，这使他们能够访问所需的测试资源。

要部署到 AWS 上的测试或开发环境，您需要为每个实例提供一个角色，例如 AppServer。 AppServer 角色/配置文件也可以具有与之关联的相同 IAM 策略 p1, p2, p3。

通过这种方式，您的本地开发人员拥有与部署实例时相同的策略。