AWS IAM 最小权限实践：角色、临时凭证、MFA 和根账户保护

上云后最危险的误区之一，是在服务器配置文件中长期保存拥有管理员权限的 Access Key。AWS IAM 的正确起点是区分人类用户、工作负载和根用户，优先让访问权限短期、可追溯、按任务最小化。

人类用户先启用强认证

通过组织统一身份源或 IAM Identity Center 管理人员访问，并为敏感账号启用 MFA。根用户凭据应受严格保护，仅用于必须由根用户执行的少数操作，日常工作不应使用根账户。离职和岗位变动时及时撤销访问能力。

在 EC2、Lambda 等受支持服务中优先使用关联角色获得临时凭证，而不是将长期密钥写进 Git、Docker 镜像或环境变量仓库。权限策略明确资源、动作和条件；先从可用的托管策略起步，再根据日志及 Access Analyzer 缩小范围。

可在已经授权管理的环境中使用下面的只读检查命令作为排查起点；示例域名和 IP 不是实际生产目标：

aws iam get-account-summary
# 需要已配置 AWS CLI 与适当的只读 IAM 权限

定期清理长期未用用户、角色与凭证；检查跨账户共享和公共资源策略，使用 CloudTrail 等记录敏感 API 活动。若怀疑密钥泄露，按应急流程禁用、调查影响、轮换并修复泄露来源。

如果需要进一步理解相关的配置或选型区别，可结合本站AWS ACM证书申请参考，把技术目标、费用与故障处理放在同一份检查清单中。

现象	优先检查	处理建议
代码库含 AK/SK	长期密钥硬编码	立即撤销并改用实例角色
普通角色权限过大	使用通配符或 AdministratorAccess	拆解资源/动作并审计
离职账号仍可访问	缺少账号生命周期管理	撤销会话并清理访问策略

先识别长期密钥硬编码，再按“立即撤销并改用实例角色”核查。应优先完成“落实 MFA 与联合身份”，保存相关配置和复测结果；不要跳过必要的权限和数据备份检查。

先识别使用通配符或 AdministratorAccess，再按“拆解资源/动作并审计”核查。应优先完成“落实 MFA 与联合身份”，保存相关配置和复测结果；不要跳过必要的权限和数据备份检查。

注意事项：ACM TLS 证书和 IAM 认证凭证不是同一概念。变更 IAM 策略可能中断线上服务，建议先用策略模拟器和低风险环境验证。

AWS STS可生成有明确到期时间的临时安全凭证；对EC2等工作负载，尽量通过服务角色获取此类凭证，并确保策略限制到所需API和资源。MFA、根用户保护与云审计解决的是不同层级的问题，不能被“禁止在代码写密钥”单独取代。