问题描述
需求是在同一个AWS账户中，允许特定的Jenkins作业具有特定的AWS权限，包括通用权限（如Lambda或CodeCommit）和一些敏感权限（如获取参数和SSH）。目前已将S3访问权限附加到运行Jenkins的EC2实例的IAM角色上。用户担心以下问题：
1. 所有访问服务器的用户都具有getParameters权限，他们可以通过CLI命令检索信息。
2. 如果一个作业需要getParameters权限，但另一个作业不需要，是否可以将这些权限限制为单个作业？
解决方案
方案1 – 使用Assume Role
用户已经考虑过在AWS中为不同的作业创建新角色，并通过Assume Role在Jenkins作业中使用这些角色。然而，他对Assume Role的使用存在疑虑，因为这可能会在EC2实例中切换当前角色，可能会导致执行失败。
使用Assume Role的步骤
以下是使用Assume Role来临时在每个作业中使用在同一AWS账户中创建的角色的步骤：
1. 为每个特定的Jenkins作业创建一个新的IAM角色，授予所需的AWS权限。
2. 在Jenkins作业配置中，使用AWS CLI或SDK来在作业运行时临时假定该角色。
3. 在作业完成后，确保不再假定角色，以避免权限滥用。
方案1注意事项
请确保在配置Jenkins作业时，正确配置Assume Role的步骤，以确保在作业运行时能够成功假定所需的角色。此外，一定要在作业完成后取消角色的假定，以保证安全性。
方案2 – 基于权限严重性的权限分组
另一种最佳实践是根据权限的严重性对权限进行分组，并为每个Jenkins作业分配特定的角色。这可以帮助实现权限的精细控制。
基于权限严重性的权限分组步骤
以下是根据权限严重性对权限进行分组，并为Jenkins作业分配角色的步骤：
1. 将权限划分为通用权限组和敏感权限组。
2. 为每个权限组创建一个IAM角色，将所属权限分配给该角色。
3. 根据Jenkins作业所需的权限，选择相应的权限组并分配角色。
方案2注意事项
请确保根据Jenkins作业的需求正确选择权限组，并仅分配作业所需的权限，以确保最小化潜在风险。
总结
对于在同一AWS账户中允许特定AWS权限（Lambda，S3）/角色给特定的Jenkins作业的需求，可以选择使用Assume Role来临时在每个作业中使用创建的角色，或者根据权限的严重性对权限进行分组并为每个Jenkins作业分配角色。请根据实际需求和安全性考虑选择适合的解决方案。