Amazon Route 53 中的 Identity and Access Management
要对 Amazon Route 53 资源执行任何操作(如注册域或更新记录),AWS Identity and Access Management (IAM) 会要求您接受身份验证,确认您是经过批准的 AWS 用户。如果您使用的是 Route 53 控制台,可通过提供您的 AWS 用户名和密码来验证您的身份。如果您以编程方式访问 Route 53,则您的应用程序将通过使用访问密钥或对请求进行签名来验证您的身份。
在验证您的身份后,IAM 将控制您对 AWS 的访问,方法是验证您是否有权执行操作和访问资源。如果您是账户管理员,则可使用 IAM 控制其他用户对与您的账户关联的资源的访问。
本章说明如何使用 IAM 和 Route 53 帮助保护您的资源。
主题
身份验证
您可以以下面任一类型的身份访问 AWS:
- AWS 账户 根用户
当您创建 AWS 账户时,最初使用的是一个对账户中所有 AWS 服务和资源拥有完全访问权限的登录身份。此身份称为 AWS 账户根用户,使用您创建账户时所用的电子邮件地址和密码登录,即可获得该身份。强烈建议您不要使用根用户执行日常任务。保护好根用户凭证,并使用这些凭证来执行仅根用户可以执行的任务。有关要求您以根用户身份登录的任务的完整列表,请参阅《AWS 一般参考》中的需要根用户凭证的任务。 - IAM 用户和组
IAM 用户是AWS 账户内对某个人员或应用程序具有特定权限的一个身份。在可能的情况下,我们建议使用临时凭证,而不是创建具有长期凭证(如密码和访问密钥)的 IAM 用户。但是,如果您有一些特定的使用场景需要长期凭证以及 IAM 用户,我们建议您轮换访问密钥。有关更多信息,请参阅《IAM 用户指南》中的对于需要长期凭证的使用场景定期轮换访问密钥。
IAM 组是一个指定一组 IAM 用户的身份。您不能使用组的身份登录。您可以使用组来一次性为多个用户指定权限。如果有大量用户,使用组可以更轻松地管理用户权限。例如,您可能具有一个名为 IAMAdmins 的组,并为该组授予权限以管理 IAM 资源。
用户与角色不同。用户唯一地与某个人员或应用程序关联,而角色旨在让需要它的任何人代入。用户具有永久的长期凭证,而角色提供临时凭证。要了解更多信息,请参阅 IAM 用户指南中的何时创建 IAM 用户(而不是角色)。 - IAM 角色
IAM 角色是可在账户中创建的一种具有特定权限的 IAM 身份。IAM 角色类似于 IAM 用户,因为它是一个 AWS 身份,具有确定其在 AWS 中可执行和不可执行的操作的权限策略。但是,角色旨在让需要它的任何人代入,而不是唯一地与某个人员关联。此外,角色没有关联的标准长期凭证(如密码或访问密钥)。相反,当您代入角色时,它会为您提供角色会话的临时安全凭证。具有临时凭证的 IAM 角色在以下情况下很有用:
访问控制
要创建、更新、删除或列出 Amazon Route 53 资源,您需要有权执行该操作,并且您需要有权访问相应资源。此外,要以编程方式执行该操作,您需要有效的访问密钥。
下面几节介绍如何管理 Route 53 的权限。我们建议您先阅读概述。