若直接为AWS IAM用户分配IAM策略而非角色，AWS角色仍有何用途？

• 跨账户资源访问：如果需要让外部AWS账户的用户、服务访问本账户资源，角色是合规且安全的方案。比如给合作方账户授予临时权限访问你的S3存储桶，不用额外创建IAM用户，对方只需切换到你提供的角色即可完成操作。

• AWS服务的权限委托：大量AWS服务需要以特定身份执行后台操作，比如EC2实例要拉取S3上的配置文件、Lambda函数要读写DynamoDB数据。给服务绑定角色（包括服务关联角色或自定义角色），能让服务临时获取所需权限，全程不用暴露长期密钥，比给用户分配策略更安全。

• 临时权限提升（最小权限原则落地）：当用户需要执行一次性高权限操作（比如修改IAM策略、创建特殊EC2实例类型），可以切换到对应权限的角色完成操作，结束后切回普通权限身份。这种方式避免了给用户长期分配高权限，减少误操作或密钥泄露带来的风险，完美贴合最小权限安全规范。

• 联合身份认证对接：如果用企业内部身份系统（如AD、SAML）或第三方身份提供商（如Google、企业微信）让用户登录AWS，必须依赖IAM角色。用户先在身份提供商处完成验证，再通过临时凭证扮演IAM角色，无需单独创建IAM用户，统一管理身份的创建、停用等生命周期。

• 多环境权限隔离：比如你的团队有开发、测试、生产三个环境，给每个环境创建专属角色，用户可按需切换角色访问对应环境资源，不用给用户同时分配多环境权限。这能有效隔离不同环境的资源，防止误操作影响生产环境。

• 特定资源的精细化权限控制：部分AWS资源的权限只能通过角色实现，比如给EC2实例配置实例角色，让实例上的应用无需硬编码密钥就能访问其他AWS服务；给RDS数据库关联角色，实现自动备份到S3。这些场景下，直接给用户分配策略根本无法替代角色的作用。

内容的提问来源于stack exchange，提问作者user2192023