Marico's space

最近折腾了阿里云和AWS的权限管理，发现很多新手在IAM这块容易踩坑——要么给权限给太大，要么根本不知道自己的账号在裸奔。这篇把AWS IAM、权限模型和共享责任这些核心概念说清楚，适合刚接触云安全或者准备考AWS认证的同学。

云上跑生产环境，安全是底线。但很多人在阿里云、AWS上建机器、调配置，却忽略了最根本的访问控制问题。下面这套东西理解了，至少能少踩一半的坑。

你会学到什么

学完这篇你得搞清楚这些：

• 云基础设施安全的核心要素
• 数据安全的几条防线
• IAM（身份与访问管理）怎么玩
• 用户、权限、访问控制的关系
• 云厂商和客户的分工边界在哪
• 凭证管理的正确姿势
• IAM和计费那些说不清道不明的关联
• 实际落地的一些最佳实践

1. 什么是云安全

云安全本质上就是一套保护云上资产的做法，包括基础设施、应用、数据、身份账号、各种资源。

关键点在于：云上的安全不是阿里云、AWS全包了。有些活是云厂商的，有些活是自己的。这个"谁负责什么"的边界，就是共享责任模型要搞清楚的事。

2. 数据安全

数据是云上最值钱的东西，这点应该没争议。

云厂商会提供加密、访问控制、身份管理、网络隔离、日志监控、备份恢复这些能力来保护数据。但光靠云厂商不够，你自己也得有安全意识。

核心原则就一条：安全要从系统设计第一天就考虑进去，别等上线了再打补丁。

3. AWS IAM是什么

IAM（Identity and Access Management，身份与访问管理） 就是管"谁能访问云资源、能干什么"的系统。

通过IAM你可以管理：

• 用户
• 用户组
• 角色
• 策略
• 权限

举个例子，你们团队有个后端开发需要读写某个OSS bucket，但绝对不能让他动ECS实例。这种时候就别给他admin权限，只给干活需要的那些就够了。

这叫最小权限原则，云安全的第一铁律。

4. 用户与权限

IAM用户就是一个身份标识，持有这个身份的人或者程序可以操作云资源。

权限决定了这个身份能干什么、不能干什么。

拿个结构图来镇楼：

IAM User | └── IAM Policy | ├── Read S3 objects ├── List S3 buckets └── No EC2 permissions

这个开发者只能看S3、列S3桶，完全碰不了EC2。比动不动给人root权限安全一万倍。

5. 共享责任模型

这是云安全里最重要的概念，没有之一。

简单说就是：云厂商负责"云的安全"，你负责"云里面的安全"。具体边界在哪，得看你用的什么服务。

云厂商负责的：机房物理安全、服务器硬件、虚拟化底层、托管服务的底层架构。

你得负责的：

• IAM配置
• 权限管理
• 数据保护
• 应用安全
• 操作系统层面的安全（如果你用的是ECS这种）
• 网络配置（如果你用的是VPC自建网络）

这个边界搞不清楚，安全漏洞就来了。很多企业的云事故，就是以为自己把安全全交给云厂商了。

6. 凭证管理的坑

云凭证这东西，处理不好就是定时炸弹。

这些操作千万别干：

❌ 分享云账号密码
❌ 通过聊天工具发AK/SK
❌ 把凭证硬编码到代码里
❌ 提交到Git仓库
❌ 给人开不必要的管理员权限

正确姿势是这样的：

✅ 优先使用RAM角色（类似IAM Role）
✅ 用临时凭证
✅ 遵循最小权限原则
✅ 开启MFA（多因素认证）
✅ 用专门的密钥管理服务存凭证
✅ 定期轮换和审计凭证

记住，AccessKey这种东西一旦泄露到公库，基本上就等于把门钥匙插在门上。

7. IAM实操演示

光说不练假把式。来看控制台里IAM怎么用：

1. 进入IAM控制台
2. 新建一个IAM用户
3. 配置访问方式（控制台登录还是编程访问）
4. 关联权限策略
5. 理解策略的JSON结构
6. 看看计费相关的访问权限怎么配
7. 安全地管理凭证

动手跑一遍比看十篇文章都有用。

8. 云安全最佳实践

几个老生常谈但必须遵守的规矩：

最小权限原则

给用户和工作负载的权限，只给到刚好够用的程度，别贪多。

开启MFA

多因素认证必须开，特别是root账号和管理员账号。手机令牌比短信验证码靠谱得多。

别拿root账号日常用

云账号的root用户权限太大，日常操作根本不需要用它。root账号就用来干一件事：创建第一个管理员账号，之后锁起来。

监控要到位

日志和监控是安全的眼睛。阿里云有ActionTrail，AWS有CloudTrail，把审计日志开起来。

定期审计权限

权限这东西会慢慢膨胀——今天开一个、明天加一个，时间长了就乱套。季度性的权限review必须做。

保护密钥

密码、AccessKey这些敏感信息别往代码里塞。阿里云用RAM STS，AWS用IAM Role，配合密钥管理服务（KMS）才是正道。

谁该学这个

这套内容适合：

• 刚入门云服务的同学
• 计算机专业学生
• 运维和DevOps新人
• 想转云方向的开发者
• 准备考ACA/ACP或AWS认证的
• 所有想把云上系统做安全加固的

总结

云安全不是简单的"建个用户给个权限"就完事了。真正靠谱的云安全基座，需要把身份、访问控制、数据保护、凭证管理、最小权限、共享责任模型这些概念串起来理解。

特别是从学习环境切换到真实生产环境的时候，这些基础概念的短板会直接暴露出来。

刚入门的同学，建议早点把IAM和云安全搞扎实，比后面补课省事多了。