AWS用户权限：允许附加和分离IAM角色到实例

65次阅读

问题描述

在AWS中希望允许其同事在EC2实例上附加IAM角色，但是其同事缺乏相应的权限。用户想知道，有哪个AWS用户权限允许附加和分离IAM角色到实例？

解决方案

请注意以下操作中的版本差异，并在执行任何操作之前做好备份。

使用`PassRole`权限将IAM角色分配给AWS服务

在AWS中，要允许用户将IAM角色及其权限传递给AWS服务，用户需要具备PassRole权限。PassRole权限确保只有经过授权的用户能够将具有权限的角色配置到服务中。为了允许用户将IAM角色传递给AWS服务，您需要将PassRole权限授予IAM用户、角色或组。

具体操作步骤如下：
1. 登录到AWS管理控制台，打开IAM控制台：https://console.aws.amazon.com/iam/。
2. 在导航窗格中，选择“Policies”（策略）。
3. 在策略列表中，选中需要附加的策略名称的复选框。您可以使用“Filter”菜单和搜索框来过滤策略列表。
4. 选择“Policy actions”（策略操作），然后选择“Attach”（附加）。
5. 选择要将策略附加到的一个或多个身份。您可以使用“Filter”菜单和搜索框来过滤主体实体的列表。在选择身份后，选择“Attach policy”（附加策略）。

附加IAM角色和权限的步骤示例

为了更好地理解如何为用户附加策略，以下是一个简化的步骤示例：
1. 登录到AWS管理控制台，打开IAM控制台：https://console.aws.amazon.com/iam/。
2. 在导航窗格中，选择“Users”（用户）或“Roles”（角色）。
3. 在列表中，选择要向其嵌入策略的用户或角色的名称。
4. 选择“Permissions”（权限）选项卡。
5. 滚动到页面底部，选择“Add inline policy”（添加内联策略）。
6. 在弹出的对话框中，选择创建策略的方法。您可以选择“Import an Existing Managed Policy”（导入现有的托管策略）或其他选项来创建新策略。

示例策略：允许IAM角色传递给EC2实例

以下是一个允许用户将IAM角色传递给EC2实例所需的权限策略示例：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "InstanceProfileAccess",
            "Effect": "Allow",
            "Action": [
                "iam:GetInstanceProfile",
                "iam:ListInstanceProfiles",
                "iam:ListInstanceProfilesForRole",
                "iam:AddRoleToInstanceProfile",
                "iam:RemoveRoleFromInstanceProfile"
            ],
            "Resource": "*"
        },
        {
            "Sid": "PassDefaultInstanceProfileToEC2",
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::<ID>:role/<ROLE_NAME>"
        }
    ]
}

在上述示例中，第一个语句授予用户执行与实例配置相关的IAM操作的权限。第二个语句授予用户PassRole权限，允许用户将特定角色传递给指定资源，例如EC2实例。

请注意，这只是一个示例策略，您可以根据实际需求进行修改。了解更多有关IAM角色和策略的信息，您可以查阅以下文档：
– 使用Instance Profiles
– IAM Roles for Amazon EC2
– Granting a User Permissions to Pass a Role to an AWS Service