关于信任ec2.amazonaws.com的权限及对应IAM角色策略的技术问询

1. 信任服务ec2.amazonaws.com会允许什么操作？ #

• 信任ec2.amazonaws.com服务主体，核心是允许EC2服务代表EC2实例调用sts:AssumeRole操作，让EC2实例能获取该IAM角色的临时访问凭证，进而使用角色附带的权限。

2. Terraform编写的IAM信任策略相关疑问 #

对应的Terraform代码如下：

data "aws_iam_policy_document" "my_trust_policy" {
  statement {
    actions = ["sts:AssumeRole"]

    effect = "Allow"

    principals {
      type        = "Service"
      identifiers = ["ec2.amazonaws.com"]
    }
 }

resource "aws_iam_role" "my_iam_role" {
  name = "my_iam_role"
  assume_role_policy = data.aws_iam_policy_document.my_trust_policy.json
}

这个策略不会允许任意EC2实例直接扮演该角色。它仅授权EC2服务作为主体发起sts:AssumeRole请求，只有当你把这个IAM角色明确关联到特定EC2实例（比如通过实例启动配置、实例属性设置等方式绑定）时，对应的EC2实例才能通过EC2服务获取该角色的临时凭证，进而使用附加到角色的权限。未关联该角色的EC2实例，哪怕是同账户下的其他实例，也无法使用该角色的权限。

内容的提问来源于stack exchange，提问作者Derek Brown