AWS IAM“身份”和“实体”之间的区别

Question

我正在阅读 AWS 文档了解 IAM 如何工作，但我对identities和entity的定义感到困惑。

身份
用于识别和分组的 IAM 资源对象。您可以将策略附加到 IAM 身份。这些包括用户、组和角色。

实体
AWS 用于身份验证的 IAM 资源对象。其中包括 IAM 用户、联合用户和代入的 IAM 角色。

两者有什么区别？它们都是 IAM 资源对象。它们都包括用户和角色（尽管只有身份才有组）。您只能将策略附加到身份而不是实体，但您最终验证的是实体而不是身份。命名差异只是语法问题，还是两者之间存在根本差异？

Answer 1

来自IAM 维基百科页面的这张图帮助了我的理解。

实体代表系统上的参与者，他们每个人可能有多个 身份。

不幸的是，这并不能很好地转化为 IAM 资源，而且 IAM 用户指南本身在提及实体、身份和委托人时非常松散（它似乎经常交替使用它们）。正如您已经注意到的，身份是特殊的，因为它们可以直接附加策略。虽然某些实体可以附加策略（因为它们也恰好是身份），但这更多的是实现细节，而不是功能。