为什么以 AWS root 用户身份登录时不允许角色切换？

Question

根据此处的AWS 文档-当您以 AWS 账户根用户身份登录时，无法切换角色。

如果我们遵循 AWS 最佳实践，即不使用 root 用户执行操作，则此限制是有意义的，并且支持了 AWS 不允许以 root 用户进行角色切换的原因。然而，当使用存储桶策略时，一个账户中的根用户可以访问另一个账户中的存储桶，而且 AWS 似乎并没有限制这一点，这与角色不同（从技术上讲，两者都是使用资源策略的跨账户操作）。

为什么此“根用户限制”仅适用于角色而不适用于存储桶 - 有任何安全原因吗？

Answer 1

对服务的访问通常是通过 IAM 用户、IAM 组和 IAM 角色的 IAM 权限授予的。

某些 AWS 服务还允许创建可授予对该特定服务的各个方面的访问权限的策略。例子有：

• Amazon S3 存储桶策略
• Amazon SQS 队列访问策略
• Amazon SNS 访问策略

这些策略可用于授予跨账户访问权限以及未经身份验证的访问权限，例如对 Amazon S3 存储桶中的对象的公共访问以及将未经身份验证的消息发送到 Amazon SQS 队列的能力。

这些策略用于授予额外的访问权限。它们不涉及“承担”任何额外的角色。