身份与访问管理设计 - 通过 IAM 实现零信任安全
解析利用 AWS IAM 的访问管理设计方法，介绍最小权限原则、策略设计、与 Cognito 联动实现零信任安全的方法。
云环境访问管理的基本原则
云环境的安全从适当的访问管理开始。AWS Identity and Access Management (IAM) 是安全控制 AWS 资源访问的服务，通过用户、组、角色和策略四个要素构成访问控制。IAM 免费提供给 AWS 账户，无需额外成本。IAM 的策略评估逻辑基于默认拒绝所有、仅允许明确授权操作的原则，实现最小权限的访问控制。
IAM 策略设计与最佳实践
IAM 策略以 JSON 格式编写，由 Effect（允许/拒绝）、Action（操作）、Resource（目标资源）、Condition（条件）四个要素构成。AWS 托管策略是针对常见用例的预定义策略，可用于快速设置权限。客户托管策略可根据组织特定需求定义细粒度权限。Condition 元素可基于 IP 地址、时间、MFA 状态等条件限制访问。IAM Access Analyzer 可自动分析策略，检测过度权限和外部访问。
IAM 角色与跨账户访问
IAM 角色是使用临时安全凭证委托访问权限的机制，可避免使用长期访问密钥。通过为 AWS 服务分配角色（EC2 实例配置文件、Lambda 执行角色、ECS 任务角色等），无需在应用程序代码中嵌入访问密钥。跨账户访问通过设置信任策略，允许另一个 AWS 账户的主体承担角色来实现。Organizations 的 SCP 可在组织级别限制可执行的操作，作为权限的上限发挥作用。
与 Cognito 联动的终端用户认证
IAM 负责 AWS 资源的访问控制，而终端用户认证则通过与 Amazon Cognito 联动来实现。通常的配置是：Cognito 用户池处理用户认证（注册、登录、MFA），Cognito 身份池为已认证用户颁发临时 IAM 凭证。通过这种联动，终端用户在 Cognito 认证后，可使用临时凭证直接访问 S3 或 DynamoDB 等 AWS 资源。
IAM 费用
IAM 完全免费使用。用户、组、角色和策略的创建数量无限制（在服务配额范围内），API 调用也不收费。IAM Identity Center (SSO) 同样免费。IAM Access Analyzer 的外部访问分析器免费，未使用访问分析器每角色/用户月费约 0.20 美元。IAM 是安全的基础，应在所有 AWS 账户中充分利用。
总结
AWS IAM 作为云环境访问管理的核心，通过用户、角色和策略免费提供细粒度权限控制。基于最小权限原则的策略设计和 IAM Access Analyzer 的自动分析，可消除过度权限并持续改善安全态势。IAM 角色的临时凭证消除了长期访问密钥的风险，跨账户访问和 Organizations 的 SCP 实现了组织级治理。