什麼是IAM？
在雲端運算的世界中，安全是首要考量。AWS Identity and Access Management (IAM)，即身份與存取管理服務，是AWS安全架構的基石。它讓您能夠安全地控制對AWS服務和資源的存取。簡單來說，IAM就像是一棟智慧大樓的門禁管理系統，它決定了「誰」（身份）可以「在什麼條件下」（政策）「存取哪些區域和設備」（資源與權限）。對於任何使用AWS的企業或開發者而言，深入理解IAM不僅是基本要求，更是確保雲端資產安全無虞的關鍵步驟。無論您是正在考慮報讀專業的aws課程以深化技能，或是身處香港的IT管理者，在規劃服務管理框架時（例如探討itil香港的實踐），都會發現權限管理是貫穿技術與流程的核心議題。
IAM的重要性不言而喻。在共享責任模型中，AWS負責雲端「本身」的安全，而客戶則需負責雲端「內部」的安全，其中就包括身份與存取的管理。一個配置不當的IAM設定，可能導致敏感資料外洩、服務被濫用，甚至造成巨大的財務損失。因此，掌握IAM等同於掌握了雲端安全的主動權。
IAM的核心概念圍繞著四個主要元件：使用者、群組、角色和政策。這些元件相互協作，構建出一個靈活且強大的權限管理框架。
- 使用者 (Users)：代表一個具體的人或應用程式，是存取AWS資源的身份。每個使用者都有獨一無二的憑證（如密碼、存取金鑰）。
- 群組 (Groups)：是IAM使用者的集合。您可以透過將政策附加到群組，來一次過管理群組內所有使用者的權限，這大大簡化了權限分配的管理工作。
- 角色 (Roles)：這是一個具有特定權限的身份，但它不與特定的人綁定，而是可以被任何需要它的實體（如EC2實例、Lambda函數、其他AWS帳戶的使用者）所「擔任」。角色是實現臨時、安全授權的關鍵。
- 政策 (Policies)：這是一個定義權限的JSON格式文件，它明確規定了「誰」可以對「哪些資源」執行「什麼動作」。政策可以附加到使用者、群組或角色上，是權限的具體體現。
理解這些核心概念的互動關係，是有效運用IAM的第一步。接下來，我們將逐一深入探討這些元件的實務操作與應用場景。
IAM的使用者與群組
管理雲端資源的存取，始於對「人」的管理。在IAM中，我們透過建立使用者帳戶來為團隊成員或應用程式創建獨立身份。建立IAM使用者的最佳實踐是避免使用AWS根帳戶（Root Account）進行日常操作與管理，因為根帳戶擁有帳戶內所有服務和資源的完全存取權，一旦洩漏後果不堪設想。取而代之的，是為每個需要存取AWS的人員創建一個IAM使用者，並僅授予其完成工作所必需的最小權限。
建立IAM使用者的過程在AWS管理主控台中相當直觀。您可以指定使用者名稱、選擇存取類型（可透過AWS管理主控台存取、或透過程式設計方式使用存取金鑰呼叫API），並在建立時直接將使用者加入現有群組或附加政策。一個重要的安全步驟是設定強制使用者在下一次登入時變更密碼，這確保了初始密碼不會被長期使用。對於香港的企業而言，在遵循如itil香港社群中常討論的服務交付與安全管理標準時，這種嚴謹的身份建立流程是符合最佳實踐的。
當團隊規模擴大，逐一管理使用者權限將變得效率低下且容易出錯。這時，「群組」的優勢便顯現出來。您可以根據職能部門（如開發部、運維部、財務部）或專案團隊來建立群組。例如，建立一個「Developers」群組，並將「AmazonS3ReadOnlyAccess」和「AmazonEC2FullAccess」等AWS託管政策附加到該群組。之後，只需將新的開發人員使用者加入「Developers」群組，他便自動繼承了該群組的所有權限。這種基於群組的權限管理，不僅提升了效率，也讓權限變更的影響範圍更清晰可控。
此外，設定嚴格的密碼政策是IAM安全的第一道防線。AWS允許您自訂密碼政策，要求使用者密碼必須符合複雜度要求，例如：最小長度、需包含大寫字母、小寫字母、數字和特殊字元，並強制定期更換密碼及防止重複使用舊密碼。根據香港生產力促進局及香港電腦保安事故協調中心過往的建議，強密碼政策是抵禦暴力破解和憑證填充攻擊的基本措施。透過IAM的密碼政策設定，您可以輕鬆地將這些安全規範落實到整個AWS帳戶中。
IAM的角色
IAM角色是IAM系統中一個極具巧思的設計，它解決了「如何安全地將權限授予AWS服務本身或跨帳戶存取」這一難題。與永久附屬於特定使用者的權限不同，角色提供的是一組臨時安全憑證。這些憑證會在角色被「擔任」時動態創建，並在設定的有效期後自動失效，這大大降低了憑證長期洩漏的風險。
IAM角色的用途廣泛，主要場景包括：
- 授予AWS服務權限：例如，讓一個EC2實例上的應用程式能夠存取S3儲存貯體，或讓一個Lambda函數能夠寫入DynamoDB資料表。您不需要將存取金鑰硬編碼在應用程式中，而是建立一個擁有適當權限的角色，並將該角色賦予EC2實例或Lambda函數。
- 跨帳戶存取：如果您擁有多個AWS帳戶（例如區分開發、測試、生產環境），可以透過角色允許一個帳戶中的使用者或資源存取另一個帳戶中的資源。
- 聯合身份登入：允許您企業內部目錄（如Microsoft Active Directory）的使用者，或透過身份供應商（如Google、Facebook）登入的使用者，暫時擔任一個IAM角色來存取AWS資源，無需為每個人創建IAM使用者。
建立IAM角色時，您需要定義兩個關鍵部分：信任政策 (Trust Policy) 和權限政策 (Permission Policy)。信任政策指定了「誰」可以擔任此角色，這可以是另一個AWS帳戶、某個AWS服務（如ec2.amazonaws.com）、或Web身份供應商。權限政策則定義了角色在擔任後所擁有的具體權限。例如，要建立一個供EC2實例使用的角色，您會在信任政策中指定服務主體為「ec2.amazonaws.com」，然後附加一個允許讀取特定S3貯體的權限政策。
將角色賦予EC2實例的過程非常簡單。在啟動EC2實例時，或在實例運行後修改其IAM角色設定，從下拉式選單中選擇預先建立好的角色即可。實例內的應用程式或AWS CLI將自動透過實例中繼資料服務取得該角色的臨時憑證，並用之呼叫其他AWS服務的API。這種機制不僅安全，也極大簡化了應用程式的配置管理。許多進階的aws課程都會花費大量篇幅講解角色的設計模式與實戰應用，因為這是構建安全、可擴展雲端架構的必備知識。
IAM的政策
政策是IAM的靈魂，它用結構化的JSON語言精確描述了允許或拒絕的動作。理解政策的結構與語法是掌握IAM進階功能的關鍵。一份政策文件主要由以下部分構成：
- Version：政策語言版本，目前應使用「2012-10-17」。
- Statement：一個或多個獨立陳述的陣列，每個陳述定義一組權限。
- Effect：在陳述中指定「Allow」或「Deny」。
- Principal（主要用於資源政策）：指定政策適用的身份（使用者、帳戶、服務等）。在IAM身分政策中，Principal通常省略，因為附加政策的對象本身就是Principal。
- Action：列出該陳述允許或拒絕的特定API動作，例如「s3:GetObject」。
- Resource：指定政策適用的AWS資源ARN（Amazon Resource Name），例如一個特定的S3貯體或EC2實例。
- Condition（可選）：指定政策生效的條件，例如要求請求必須來自特定的IP範圍，或必須使用多因素驗證。
AWS提供了兩大類政策：託管政策和客製化政策。AWS託管政策是由AWS創建和管理的預定義政策，涵蓋了常見的使用案例，如「AdministratorAccess」（完全存取）、「ReadOnlyAccess」或針對特定服務的權限（如「AmazonS3FullAccess」）。對於初學者或希望快速上手的用戶，使用託管政策是一個安全且便捷的起點。
然而，為了嚴格遵循「最小權限原則」，客製化IAM政策往往是必要的。您可以透過政策編輯器視覺化工具或直接編寫JSON來創建政策。例如，如果您只想讓某個使用者能夠啟動或停止某個特定區域的特定EC2實例，而不允許進行任何其他操作，就必須創建一個精細的客製化政策。政策語法支援萬用字元（*）和變數，讓政策既靈活又精確。
政策的最佳實踐包括：始終從最小權限開始；優先使用AWS託管政策作為起點，再根據需要進行客製化；利用條件來增強安全性（如要求MFA）；並定期使用IAM政策模擬器來測試政策的效果，確保其行為符合預期。在香港的IT環境中，無論是準備雲端遷移還是實施新的服務流程，將這些政策管理原則與itil香港實踐中關於存取管理和資訊安全管理的流程相結合，能構建出更穩健的治理框架。
IAM的安全最佳實踐
配置IAM並非一勞永逸，它需要持續的監控與優化。遵循安全最佳實踐，能將安全風險降至最低。首要之務是為所有具有管理權限的IAM使用者（尤其是根帳戶）啟用多因素驗證 (MFA)。MFA要求使用者在登入時提供兩種以上的驗證因素（如密碼+來自實體裝置或應用程式的一次性代碼），這能有效防止因密碼洩漏而導致的未經授權存取。AWS支援多種MFA裝置，包括虛擬MFA應用程式（如Google Authenticator）、硬體安全鎖等。根據香港金融管理局等監管機構的指引，對關鍵系統實施雙重認證已是行業標準。
其次，貫徹使用最小權限原則。這意味著只授予身份完成其任務所絕對必需的權限，不多不少。在實務中，這需要與各部門協作，明確每個角色或使用者的職責範圍，並據此設計精細的政策。避免使用過於寬泛的政策（如「*:*」），並定期審查現有權限是否仍然必要。許多資安事件都源於過度授權的帳戶被入侵或誤用。
最後，定期審查IAM配置是一項必須制度化的工作。這包括：
- 審查並移除長期未使用的IAM使用者憑證（如超過90天未使用的存取金鑰）。
- 檢查是否有使用者被直接附加了政策（而非透過群組），這可能違背了基於群組的管理原則。
- 利用IAM Credential Report和Access Advisor報告來分析權限使用情況，識別並收緊過度寬鬆的授權。
- 確保沒有政策允許公開存取（即Principal為「*」且沒有條件限制），除非這是業務的明確需求（如公開的S3靜態網站）。
對於希望系統性提升團隊AWS安全管理能力的組織，投資於專業的aws課程培訓是明智的選擇。這些課程通常會涵蓋IAM的深度實戰、安全審計工具的使用以及如何設計符合合規要求的身份治理模型。同時，將這些技術性的IAM實踐，與itil香港社群所強調的持續服務改進（CSI）和事件管理流程相結合，可以形成從技術控制到流程管理的完整安全閉環，為企業的雲端之旅保駕護航。
總而言之，AWS IAM是一個功能強大且細緻入微的服務。從建立第一個使用者、設計精準的政策，到實施嚴格的安全最佳實踐，每一步都關乎雲端環境的整體安全態勢。投入時間學習並正確配置IAM，是任何AWS用戶最重要的安全投資之一。
