如何限制IAM凭证至特定服务器角色？创建受限AWS等效根用户

API 探路者

2026-5-19

解答你的两个AWS IAM问题

1. 如何将IAM凭证限制为仅可用于特定服务器角色？

要实现这个需求，核心是利用IAM策略的条件判断，通过aws:PrincipalArn条件键来限制权限只能被目标服务器角色（比如EC2实例角色）使用。具体操作如下：

先确认目标服务器角色的ARN（格式类似arn:aws:iam::123456789012:role/YourServerRole）。
给需要限制的IAM实体（用户或角色）附加一条IAM策略，在策略的Condition块中指定aws:PrincipalArn必须等于该服务器角色的ARN。

举个实际例子：假设你要限制RestrictedUser这个IAM用户的权限，仅在扮演YourServerRole时生效，策略可以这么写：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "s3:*", // 替换为你实际需要的权限范围
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:PrincipalArn": "arn:aws:iam::123456789012:role/YourServerRole"
        }
      }
    }
  ]
}

如果你的需求是限制IAM凭证只能在特定EC2实例上使用（而非特定角色），可以改用aws:Ec2InstanceArn条件键，但这个键仅在请求通过EC2实例角色的临时凭证发起时有效。如果是直接使用IAM用户的AK/SK，更可靠的方式是结合aws:SourceIp限制实例的私有IP，建议配合弹性IP使用以避免IP变动问题。

2. 创建受限的"等效根用户"，仅允许从特定角色的服务器操作

你的需求考虑得很周全：既要拥有近乎全权限的AWS访问能力，又要避免服务器角色直接持有高权限，防止容器被攻陷后权限泄露。这里推荐通过STS AssumeRole实现权限代理的方案，比存储长期密钥更安全，具体步骤如下：

步骤1：创建高权限角色（等效根用户）

先创建一个拥有AdministratorAccess（或自定义的service:*全权限）的IAM角色，比如PowerfulAdminRole。注意不要给这个角色分配任何长期凭证（AK/SK），所有访问都通过临时凭证实现。

步骤2：配置信任策略，仅允许特定服务器角色扮演它

编辑PowerfulAdminRole的信任关系，只允许你的目标服务器角色（比如TrustedServerRole）来扮演它。信任策略示例：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::123456789012:role/TrustedServerRole"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

步骤3：给服务器角色添加AssumeRole权限

给TrustedServerRole（你的EC2实例所使用的角色）附加一条策略，允许它调用sts:AssumeRole来获取PowerfulAdminRole的临时凭证：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "sts:AssumeRole",
      "Resource": "arn:aws:iam::123456789012:role/PowerfulAdminRole"
    }
  ]
}

步骤4：容器内获取临时凭证执行操作

在需要执行高权限操作的容器中，不需要存储任何长期密钥，而是通过EC2实例的元数据服务获取TrustedServerRole的临时凭证，然后调用STS命令获取高权限角色的临时凭证，最后用这些临时凭证执行操作。示例命令：

# 获取当前实例角色的临时凭证（自动从元数据获取，无需手动配置）
ASSUME_ROLE_RESPONSE=$(aws sts assume-role --role-arn "arn:aws:iam::123456789012:role/PowerfulAdminRole" --role-session-name "ContainerAdminSession")

# 提取临时凭证并设置环境变量
export AWS_ACCESS_KEY_ID=$(echo $ASSUME_ROLE_RESPONSE | jq -r '.Credentials.AccessKeyId')
export AWS_SECRET_ACCESS_KEY=$(echo $ASSUME_ROLE_RESPONSE | jq -r '.Credentials.SecretAccessKey')
export AWS_SESSION_TOKEN=$(echo $ASSUME_ROLE_RESPONSE | jq -r '.Credentials.SessionToken')

# 执行高权限操作，比如创建S3桶
aws s3 mb s3://my-high-privilege-bucket

为什么这个方案符合你的需求？

无需存储长期密钥：所有凭证都是临时的，有效期可配置（默认1小时），即使泄露也很快失效。
权限隔离：只有TrustedServerRole能获取高权限角色的凭证，其他容器如果没有权限调用sts:AssumeRole，就无法拿到高权限凭证。
避免服务器角色直接持有高权限：TrustedServerRole仅拥有AssumeRole的权限，没有直接的全权限，即使被攻陷，攻击者也只能尝试获取高权限凭证，而无法直接执行操作。

如果你坚持要使用存储在密钥库的长期IAM用户凭证，这里有个关键问题：直接使用IAM用户的AK/SK发起请求时，AWS无法识别请求来自哪个实例角色，所以这种方式无法实现基于服务器角色的限制。因此，强烈推荐使用STS AssumeRole的方案，既安全又符合AWS的最佳实践。

内容的提问来源于stack exchange，提问作者xenoterracide

如何限制IAM凭证至特定服务器角色？创建受限AWS等效根用户

1. 如何将IAM凭证限制为仅可用于特定服务器角色？ #

2. 创建受限的"等效根用户"，仅允许从特定角色的服务器操作 #

步骤1：创建高权限角色（等效根用户） #

步骤2：配置信任策略，仅允许特定服务器角色扮演它 #

步骤3：给服务器角色添加AssumeRole权限 #

步骤4：容器内获取临时凭证执行操作 #

为什么这个方案符合你的需求？ #