AWS IAM

1. Root User Credentials
   创建 AWS 账户时，会创建一个用于登录 AWS 的 AWS 账户根用户身份。可以使用此根用户身份 (即创建账户时提供的电子邮件地址和密码) 登录 AWS 管理控制台。电子邮件地址和密码的组合也称为您的根用户凭证。使用根用户凭证时，可以对 AWS 账户中的所有资源进行完全、无限制的访问，包括访问账单信息，还能更改自己的密码。首次设置账户时，需要此访问级别。但是，不建议使用根用户凭证进行日常访问。不要与任何人共享根用户凭证。
2. IAM Users
   在账户中创建与组织中的用户对应的各 IAM 用户，IAM 用户不是单独的账户；它们是我们账户中的用户。每个用户都可以有自己的密码以用于访问 AWS 管理控制台。还可以为每个用户创建单独的访问密钥，以便用户可以发出编程请求以使用账户中的资源。IAM 用户不必表示实际人员；可以创建 IAM 用户以便为在公司网络中运行并需要 AWS 访问权限的应用程序生成访问密钥。建议我们为自己创建 IAM 用户，然后向自己分配账户的管理权限。随后可以作为该用户登录以根据需要添加更多用户。

3. Federating Existing Users
   如果组织中的用户已通过某种方法进行身份验证 (例如，通过登录到公司网络)，则不必为他们创建单独的 IAM 用户。相反，可以在 AWS 中对这些用户身份进行联合身份验证。

   
   
   image.png
4. Policies
   权限是通过策略授予的。策略是 AWS 中的一个实体；在附加到身份或资源时，策略定义了它们的权限。在委托人 (如用户) 发出请求时，AWS 将评估这些策略。策略中的权限确定是允许还是拒绝请求。策略作为 JSON 文档存储在 AWS 中，它们作为基于身份的策略附加到委托人或作为基于资源的策略附加到资源。