IAM角色与用户 - 最佳做法

Question

我支持10位开发人员。这些开发人员在调用小队和部落（如Spotify）中是分开的。因此，每个部落（就像一组共享常见任务的用户）需要AWS资源上的一组权限。当开发人员部署应用程序时，例如在Ec2实例中，它承担ec2实例的角色。当这个开发人员使用他的开发机器测试和开发应用程序时，他需要访问aws资源，比如ec2实例。那么正确的方法是什么：向用户或团体这样的开发者授予权限，或者让他担任像ec2实例这样的角色？

Answer 1

如果开发人员在本地开发，他们只能使用IAM用户/组权限。他们不能担任角色，因为他们不在EC2实例上。因此，假设它们都属于名为Developer的IAM组。

对于Developer组，您可以向他们授予开发所需的托管或自定义策略集。假设他们有IAM策略p1, p2, p3，这使他们可以访问他们需要的测试资源。

要在AWS上部署到测试或开发环境，您需要为每个实例提供一个角色，例如AppServer。 AppServer角色/配置文件也可以具有与之关联的相同IAM策略p1, p2, p3。

通过这种方式，您的本地开发人员具有与部署时实例相同的策略。