IAM Roles Anywhere 使用憑證型存取控制加強 的安全性

Amazon Web Services，Alberto Sagrado Amador

2025 年 7 月 (文件歷史記錄)

隨著組織擴展雲端足跡並採用自動化，管理非人類身分的安全存取變得越來越重要，例如應用程式、伺服器和容器。傳統方法使用長期憑證或硬式編碼的秘密，但這些方法可能會產生安全風險和營運開銷。 透過允許 以外的工作負載透過 X.509 憑證 （維基百科） 安全地存取 AWS 資源，而非長期憑證 AWS 雲端 ，來AWS Identity and Access Management Roles Anywhere解決這些挑戰。

組織通常難以擴展存取金鑰、複雜的登入資料輪換，以及強制執行精細存取控制的能力有限。現代安全架構強調零信任原則、just-in-time存取和最低權限原則，所有這些都可以透過正確實作憑證型身分驗證來實現。

本指南示範如何 IAM Roles Anywhere 透過有效管理憑證屬性和 AWS Identity and Access Management (IAM) 角色信任關係，在 中增強安全性。它使用實用的架構範例，示範如何在工作階段中 IAM Roles Anywhere 實作精細存取控制，並強制執行最低權限原則。

架構使用 IAM Roles Anywhere 和 AWS 私有憑證授權單位 (AWS 私有 CA). AWS 私有 CA acts 做為信任錨點，而 AWS Certificate Manager (ACM) 會管理憑證。此基礎反映了實際的安全組態及其影響。

如果沒有 IAM 角色的適當政策組態，則 AWS 私有 CA 發行的任何憑證都可能用於擔任角色。這可能會產生重大的安全漏洞，包括未經授權的角色擔任、資料外洩和憑證洩露。本指南說明如何透過適當設定政策和管理憑證屬性，協助減輕這些風險。

下圖顯示應用程式如何透過 請求存取， IAM Roles Anywhere 然後在目標中執行允許動作的工作流程 AWS 帳戶。

該圖顯示以下工作流程：

應用程式會執行連接到 IAM 角色和帳戶中的政策所允許的動作。例如，它可能會存取 Amazon Simple Storage Service (Amazon S3) 儲存貯體。

目標對象

本指南適用於雲端架構師、安全工程師和 DevOps 工程師，這些工程師正在實作混合雲端環境的存取控制，或自動化非人類身分的許可管理。本指南也可以協助您遵守法規或符合安全最佳實務。若要了解本指南中的概念和建議，您應該熟悉以下內容：

目標

使用 IAM Roles Anywhere 和 X.509 憑證進行身分驗證可提供下列關鍵業務成果：