如何基于指定邮箱域名自动创建AWS IAM用户并配置控制台访问？

Great question—this is a super common scenario for teams looking to balance security, scalability, and ease of use with AWS access. Let’s break down the best options for your needs, including the approach you’re already considering:

1. 首选方案：基于SAML的身份提供商（IdP）联邦认证 #

This is AWS’s recommended best practice, and it aligns perfectly with your goal of avoiding shared credentials and manual user management:

• 无需创建IAM用户：员工直接使用企业Exchange邮箱凭证登录AWS管理控制台，身份由你现有的身份提供商验证，无需在AWS侧维护独立用户列表
• 灵活权限控制：你可以将所有首次登录的联邦用户映射到拥有只读权限的角色（使用托管策略 arn:aws:iam::aws:policy/ReadOnlyAccess）。后续管理员可通过更新角色映射或分配额外IAM策略来调整权限
• 自动生命周期同步：员工离职后，只需禁用其Exchange账号，就会自动撤销其AWS访问权限——无需手动清理IAM用户

由于你使用Microsoft Exchange，可以搭建AD FS（Active Directory Federation Services）作为SAML身份提供商，与AWS IAM集成实现无缝单点登录（SSO）。

2. 你计划采用的方案：AWS Management Console Federation Proxy Sample #

这个方案完全匹配你的需求，搭配Microsoft Exchange托管邮箱可以这样落地：

• 核心流程：代理作为中间层，员工使用企业邮箱登录时，代理首先验证邮箱域名是否符合你的指定域名（例如@yourcompany.com）。如果是首次登录，代理会自动创建对应的IAM用户并附加只读权限
• Exchange集成：配置代理对接Exchange的身份验证端点，验证用户是否为有效员工，确保只有内部团队成员能触发IAM用户创建
• 后续权限调整：管理员可通过AWS管理控制台或API修改现有IAM用户的权限，完全符合你“初始只读、按需升级”的模式

3. 替代方案：Lambda驱动的自动化IAM用户创建（轻量场景适用） #

如果你想要一个更简单的无服务器替代方案，可以用Lambda构建自动化流程：

• 触发流程：搭建一个基础的内部网页表单，员工输入企业邮箱后，表单调用Lambda函数处理用户创建逻辑
• Lambda核心逻辑：
  1. 验证邮箱域名是否符合企业指定规则
  2. 通过iam:ListUsers API检查该邮箱对应的IAM用户是否已存在
  3. 如果不存在，调用iam:CreateUser创建账号，再用iam:AttachUserPolicy附加ReadOnlyAccess托管策略
  4. 通过sts:GetFederationToken生成临时控制台登录链接（比创建永久密码更安全）并发送给用户
• 关键注意事项：确保Lambda函数仅拥有必要的最小IAM权限（限制为它需要执行的操作），同时保护网页表单安全，防止恶意请求

以上所有方案都能消除共享凭证、实现用户自动化入职，并且能落实你想要的“默认只读、按需提升权限”的权限模型。

内容的提问来源于stack exchange，提问作者Andrew Drake