创建自定义AWS IAM操作

Question

AWS IAM可用于控制自定义应用程序的访问吗？我非常依赖IAM来控制对AWS资源的访问。我有一个自定义Python应用程序，我想扩展到与IAM一起工作，但我找不到任何人对此进行的任何引用。

Answer 1

管理用户，创建角色和组的唯一方法是拥有管理员权限。高级用户可以做所有事情。

您可以创建具有要授予的所有特权的组，并使用创建的组中附加的策略创建用户。严格创建仅具有编程访问权限的用户，以便该应用程序可以使用AWS CLI的访问密钥ID和安全密钥进行连接。

Answer 2

通常，IAM可用于创建和管理AWS用户和组以及允许和拒绝其访问AWS资源的权限。 如果您的Python应用程序以某种方式消耗或连接了任何AWS资源（如S3），那么您可能需要研究一下。

connect-on-premise-python-application-with-aws

可以将Python应用程序上传到S3存储桶。该应用程序在公司内部数据中心内的服务器上运行。本教程的重点是与AWS的连接。

Answer 3

考虑将API网关放置在Python应用程序的路由前面。

那么您可以control access using IAM。

Answer 4

我已经考虑过同一件事，并且我认为这在理论上是可能的。主要问题是IAM中没有可用的呼叫来确定是否允许特定呼叫（SimulateCustomPolicy可能有效，但这似乎不是其目的，因此我不确定它是否具有处理大量数据的吞吐量）

因此，您必须为这些自定义调用编写自己的IAM策略评估程序。我不认为这本质上是一件坏事，因为对于任何其他基于策略的系统，您也必须构建它。而且IAM政策格式似乎足够合理，可以使用。

我想简短的答案是，是的，有可能需要一些工作。如果您愿意，请开源代码，以便我们其他人可以使用它。