AWS IAM 角色以访问多个服务

Question

如果EC2实例需要访问多个AWS服务(如S3，SNS，SQS，CloudWatch等(，授予对EC2实例的访问权限的最佳实践是什么？

• 如果一个角色具有所有必需的权限
• 或
• 创建多个角色(您只能将一个角色附加到 EC2 实例。使用配置文件，您可以使用多个角色。根据您使用的语言，需要额外的编码( - 每项服务一个

根据 AWS 文档，您应始终为 EC2 创建角色，并根据您的要求将策略分配给角色。

向一个角色授予多个服务访问权限是否存在任何安全问题？我问的原因是因为使用 EC2 元数据，您可以在此时使用该角色获取分配给 EC2 实例的访问密钥信息。EC2 会频繁刷新密钥。

任何反馈或输入。

Answer 1

AFAIK，到目前为止，对我来说最有效的是 [ec2 -->一个角色 ->多个策略]，并且角色信任关系船分配给 ec2 实例服务。

不知道为什么要关注安全方面，以获取您已经通过身份验证并有权访问 ec2 实例的元数据。

希望这有帮助，可能是更详细的用例可能有助于更准确地回答。

Answer 2

您当然可以并且应该为一个 IAM 角色分配多个权限，然后将该 IAM 角色分配给 Amazon EC2 实例。

这是正确的做法。

Answer 3

这取决于您的服务或 EC2 使用情况。

如果您的服务部署在不同的 EC2 实例

上并执行不同的操作，即您的每个服务都与不同的资源交互，我建议为每个使用案例(为每个 EC2 实例(创建一个角色。这将在您的 EC2 之一遭到入侵时保护您。黑客可能会访问所有这些资源。

如果您的所有服务都与相同的资源交互或部署到同一 EC2 实例，那么我只需创建一个角色，并将其用于我的所有 EC2 实例。

Answer 4

最佳方法是使用单个角色，并附加多个策略，并具有精细访问权限此外，使用/service 角色也将是更好的选择

例：

YourServerEc2Profile:
    Type: AWS::IAM::InstanceProfile
    Properties:
      Path: '/'
      Roles:
      - Ref: YourServerEc2Role
YourServerEc2Role:
    Type: AWS::IAM::Role
    Properties:
      AssumeRolePolicyDocument:
        Version: '2012-10-17'
        Statement:
        - Effect: Allow
          Principal:
            Service:
            - ec2.amazonaws.com
          Action:
          - sts:AssumeRole
      Path: "/"
      Policies:
      -
        PolicyName: audit
        PolicyDocument:
          Version: "2012-10-17"
          Statement:
            -
              Action:
                - "ssm:*"
                - "ec2:DescribeImages"
                - "cloudwatch:PutMetricData"
                - "ec2:DescribeInstances"
                - "lambda:InvokeFunction"
                - "ec2:DescribeTags"
                - "ec2:DescribeVpcs"
                - "cloudwatch:GetMetricStatistics"
                - "ec2:DescribeSubnets"
                - "ec2:DescribeKeyPairs"
                - "cloudwatch:ListMetrics"
                - "ec2:DescribeSecurityGroups"
              Resource: "*"
              Effect: "Allow"
      ManagedPolicyArns:
        - !Ref YourServerCrossAccount
        - arn:aws:iam::aws:policy/ReadOnlyAccess
  YourServerCrossAccount:
    Type: AWS::IAM::ManagedPolicy
    Properties:
      PolicyDocument:
        Version: '2012-10-17'
        Statement:
        - Effect: Allow
          Action:
          - sts:AssumeRole
          Resource:
          - arn:aws:iam::AccountID:role/AWS_CrossAccount ```