AWS：如何管理多个帐户的身份验证

Question

我们有多个AWS账户（大约15-20个），我们管理的每个客户一个AWS账户，每个账户都有VPC，具有专门的实例设置。由于监管要求，所有账户都需要相互隔离。

管理这些AWS账户的帐户凭据的最佳方法是什么？以下是我的想法

- 适用于任何新客户

1. 创建新的AWS账户
2. 创建AWS IAM角色（管理员，开发人员， 测试员）使用cloudformation新创建的帐户
3. 使用master AWS账户，假设在步骤2中创建的角色以访问其他角色 帐户。

这是管理多个帐户的正确方法吗？

提前致谢。

Answer 1

促进IAM Roles是一种非常常见的（我认为）管理多个帐户身份验证的正确方法，AWS最近刚刚发布了。对此有很大帮助的更新，请参阅Cross-Account Access in the AWS Management Console：

  

许多AWS客户使用单独的AWS账户（通常与Consolidated Billing一起使用）来开发和生产资源。这种分离使他们能够清晰地分离不同类型的资源，并且还可以提供一些安全性好处。

     

今天，通过让您轻松切换AWS Management Console内的角色，我们可以让您更轻松地在多帐户（或多角色）AWS环境中高效工作。您现在可以作为IAM用户或通过federated Single Sign-On登录控制台，然后切换控制台以管理其他帐户，而无需输入（或记住）其他用户名和密码。

请注意，这不仅适用于AWS管理控制台，也适用于AWS Command Line Interface (AWS CLI)，正如Mitch Garnaat在Switching Roles in the AWS Management Console and AWSCLI中对此进行了大量探讨/解释。

此外，Mitch已经采用了专门的新工具'rolemodel'，以帮助您完成与您概述的相似的设置，您可能需要相应地进行评估：

  

Rolemodel 是一个命令行工具，可帮助您设置和维护跨帐户IAM角色，以便在AWS管理控制台的新switch role功能中使用它们。这些相同的跨账户角色也可以与AWS here所述的AWSCLI一起使用。