IAM角色信任关系修改后仍可绑定EC2实例的异常行为咨询

你遇到的两个现象均为AWS的预期行为，具体逻辑如下：

• 「修改信任策略后仍可将Role4EC2-FA角色绑定到EC2实例」的原因：IAM角色的实例绑定操作和信任策略校验是完全独立的两个流程。你在调用AttachInstanceProfile接口（或者控制台操作）绑定角色到EC2时，AWS只会校验你当前操作身份是否具备EC2实例配置文件关联、IAM角色读取的相关权限，不会校验角色信任策略中的可信主体是否包含ec2.amazonaws.com，因此绑定操作不会被拦截。
• 「绑定后EC2无法访问S3服务」的原因：角色的信任策略仅在sts:AssumeRole（角色被假设）环节生效。EC2实例要使用绑定的角色访问AWS服务，首先需要EC2服务代实例发起AssumeRole请求获取该角色的临时访问凭证，此时STS会校验角色信任策略是否允许ec2.amazonaws.com作为请求主体。你已经把可信主体改为s3.amazonaws.com，EC2服务的AssumeRole请求会被直接拒绝，实例拿不到有效凭证，自然无法访问S3。

内容的提问来源于stack exchange，提问作者Praveen Sripati