AWS 身份与权限#
IAM（Identity and Access Management，身份与访问管理）解决“谁能以什么条件访问哪些资源”。人员、流水线、运行时应用和应急管理使用不同身份，不共享一把 Access Key。
| 场景 | 推荐身份 | 实践 |
|---|---|---|
| 员工访问控制台/命令行 | 企业单点登录 + IAM Identity Center + 角色短期会话 | 账号与人员基线、权限边界与撤销 |
| GitHub Actions 访问 AWS | OIDC 身份联合，按仓库/环境限制角色信任 | 流水线短期身份 |
| 集群应用与控制器 | 独立工作负载角色，限定资源 | EKS 组件身份、密钥同步 |
| Jenkins 发布 | 隔离 Agent 的运行身份，必要时切换到限定发布角色 | 权限与短期凭据 |
| 凭据排查与审计 | 先确认调用者，再查授权和事件 | IAM 命令 |
OIDC（OpenID Connect）用于联合身份认证；短期凭据减少长期密钥管理负担，但不能代替最小权限、会话撤销和审计。