AWS Identity and Access Management

在 AWS 中管理「對誰允許哪些操作」的安全核心服務。

管理 AWS 資源存取權限的服務。透過使用者、群組、角色、政策控制誰可以執行什麼操作。

• 管理者與開發者的權限管理
• 賦予 Lambda 或 EC2 的執行角色管理
• 最小權限政策設計

• 避免日常使用 root 使用者
• 為 IAM 使用者設定 MFA
• IAM 角色用於將權限委派給 AWS 服務或外部 ID 整合

• 應用程式存取 AWS 服務時使用 IAM 角色,而非直接寫入存取金鑰
• 權限須限縮 Action 與 Resource
• 跨帳號存取時須理解信任政策

AWS Identity and Access Management(IAM)是針對 AWS 資源進行存取認證與授權的服務。透過組合 IAM 使用者、IAM 群組、IAM 角色、IAM 政策 4 個要素,控制「誰、對哪個 AWS 資源、被允許執行哪些操作」。IAM 政策以 JSON 格式描述,指定 Action(允許 / 拒絕的 API 操作)、Resource(對象資源)、Condition(附加條件)。 IAM 角色不是直接賦予 IAM 使用者,而是用來將權限委派給 AWS 服務(EC2、Lambda 等)、其他 AWS 帳戶、外部 ID 連動(SAML / OIDC)等的機制。例如當 Lambda 函式要寫入物件到 S3 時,不應在函式中直接寫死存取金鑰,而應將具備 S3 PutObject 權限的 IAM 角色指派給 Lambda 使用。如此可降低存取金鑰外洩風險,亦能減少金鑰輪換的運維負擔。 CLF-C02 會頻繁考 root 使用者與 IAM 使用者的差異、MFA 的重要性、最小權限原則、透過 IAM 角色進行權限委派等論點。SAA-C03 以上則會考跨帳戶存取時的信任政策設計、IAM 政策與 S3 儲存貯體政策、KMS 金鑰政策的優先順序、透過 IAM Identity Center 進行的組織級單一登入等更深入的設計問題。IAM 自身的使用不會產生額外費用,但因權限錯誤造成的不必要資源建立或非預期 API 呼叫可能導致計費事故,因此運維設計的重要性很高。

• 什麼是 AWS Identity and Access Management (AWS 官方文件)
• IAM 角色 (AWS 官方文件)
• IAM 的安全最佳實務 (AWS 官方文件)

最後更新日: 2026-06-01