拥有AWS Root账号，如何为外部开发者配置临时权限部署Node.js容器项目

方案1：创建限定权限的IAM用户+临时访问凭证 #

这是最直接的临时授权方式，适合需要直接操作AWS容器服务的场景：

• 用Root账号登录IAM控制台，创建新IAM用户，仅勾选「访问密钥 - 编程访问」（无需控制台访问权限，减少风险）。
• 为该用户自定义最小权限策略，只授予部署Node.js项目必需的操作，比如：
  • 推送/拉取ECR容器镜像的权限：ecr:GetDownloadUrlForLayer、ecr:BatchGetImage、ecr:BatchCheckLayerAvailability、ecr:InitiateLayerUpload、ecr:UploadLayerPart、ecr:CompleteLayerUpload、ecr:PutImage
  • 更新ECS服务/任务定义的权限：ecs:RegisterTaskDefinition、ecs:UpdateService
  • 若用EKS，则授予操作K8s部署资源的权限：eks:DescribeCluster、eks:ListClusters（结合K8s RBAC实现更细粒度控制）
    策略中务必指定具体资源ARN（比如特定ECR仓库、ECS集群），避免使用*通配符过度授权。
• 生成临时凭证：通过AWS CLI执行aws sts get-session-token --duration-seconds 43200（设置有效期为12小时，可按需调整），将返回的AccessKeyId、SecretAccessKey、SessionToken提供给开发者，到期自动失效。

方案2：使用IAM角色+临时角色凭证 #

适合开发者有自己AWS账号，或需要更灵活权限管控的场景：

• 创建IAM角色，在信任关系中配置允许外部身份访问（若开发者无AWS账号，可设置信任关系为允许当前账号的IAM用户切换，或直接生成临时凭证）。
• 给角色附加和方案1一致的最小权限策略。
• 生成临时角色凭证：执行aws sts assume-role --role-arn arn:aws:iam::ACCOUNT_ID:role/DEPLOY_ROLE --role-session-name DEPLOY_SESSION --duration-seconds 3600（有效期1小时），将返回的临时凭证提供给开发者。开发者也可通过自己的AWS CLI直接切换该角色进行操作。

方案3：自动化部署流水线（无需直接AWS权限） #

如果不想给开发者任何AWS凭证，推荐用自动化流水线实现代码提交后自动部署：

• 配置AWS CodePipeline：连接开发者的代码仓库（如GitHub、GitLab），设置触发规则（比如提交到main分支触发部署）。
• 加入CodeBuild阶段：自动构建Node.js项目为容器镜像，推送到ECR仓库。
• 加入部署阶段：将镜像部署到ECS/EKS集群，或使用CodeDeploy完成容器更新。
• 开发者仅需拥有代码仓库的提交权限，无需接触任何AWS资源，完全隔离权限，安全性最高。

关键注意事项 #

• 严格遵循最小权限原则：所有权限仅授予部署必需的操作，绝不允许超出范围的权限（如创建EC2实例、修改IAM策略等）。
• 缩短临时凭证有效期：根据部署需求设置最短合理时间（几小时到1天），避免长期有效凭证泄露风险。
• 事后清理：部署完成后，及时删除临时IAM用户，或撤销IAM角色的信任关系，确保权限不再可用。
• 绝对禁止共享Root账号凭证：Root账号仅用于初始IAM配置，任何场景下都不能将Root凭证提供给第三方。

内容的提问来源于stack exchange，提问作者user1517566