每个应用程序的 iam 用户

Question

对于我的业务流程之一，我想为多个应用程序创建 IAM 用户来访问同一资源，我想到了以下选项：

1. 创建 1 个 IAM 用户并在企业中的应用程序中使用凭证
2. 每个应用程序创建单独的 IAM 用户并使用各自的凭证

我浏览了https://aws.amazon.com/iam/faqs/，它提到 IAM 用户可以是应用程序或系统。

据我了解，1 的一个优点是它简化了流程，只需一个 IAM 用户即可管理。

但 2 使应用程序彼此独立，并提供对凭据的细粒度控制。

在这种情况下创建 IAM 时遵循的最佳实践是什么？为什么？

Answer 1

一般来说，AWS 更喜欢创建单独的 IAM 用户，以便于管理和审计。您还可以撤销对特定应用程序的访问权限，而不影响其他系统用户。请参阅IAM 最佳实践。

我还引用了AWS 安全最佳实践白皮书。

我们强烈反对使用共享用户身份，即多个实体共享相同的凭据。