[AWS] [Root User] 分配一个IAM账号

前言

这篇适合任何人，前提是你现在拥有一个AWS根账号并且想了解IAM用户是如何创建的。

IAM用户的作用

IAM是AWS的一个身份管理系统，多个IAM用户依附于一个根账号，并且由根账号决定IAM用户的行动能力。

IAM账号的组成部分

一个IAM账号由策略，用户，用户组三部分组成。策略决定了IAM的行动能力和内容可见度，用户是对IAM账号信息的管理，用户组方便了不同类型IAM账号的集中管理。

在实际操作新建一个类型的IAM账户时，我们通常要先创建【策略】，在创建【用户组】，最后创建【IAM用户】，庆幸的是这些操作全部在IAM系统中完成，你不必担心迷失了方向。

最佳实践

创建策略

在AWS服务.最近访问服务中 点击 【IAM】或 通过搜索框检索并点击IAM 

点击【策略】我们可以看到很多内置的AWS策略，想了解的内置策略的话可以自行翻阅资料，在这里我们点击【创建策略】

创建思想是要选择一个服务，然后围绕你选择的服务指定访问权限。

CodeCommit类似于Git的代码仓库，是开发期间开发者们必须要访问的服务，所以在这里我们以CodeCommit为例。 

勾选【所有CodeCommit操作】，表示允许访问CodeCommit中的所有内容。 

勾选授权访问CodeCommit中的所有资源，连续点击下一步，进入【查看策略】流程。

最后我们输入策略的名称和描述，点击【创建策略】按钮，完成策略的创建。

你可以在IAM>策略中查看排列在最前面的自定义策略。

创建用户组

我们来到【用户组】，点击【创建组】

我们为用户组命名，然后选中CustomCodeCommitDeveloper这个策略，最后点击【创建组】按钮完成组的创建。

创建IAM用户

最后我们来到IAM>用户页面，点击创建用户，来新增一个IAM账户

 用户名就是IAM的登录账号，勾选变成访问和控制台访问，并为其设置一个密码。

为用户选择分组，然后一路，下一步。

到这里为止呢，IAM就创建完成了，点击红框中的链接，可以跳转到IAM登录页面。 访问的密钥ID和私有访问密钥就是通过AWSCli访问的凭证了。

登录IAM账号访问CodeCommit

在登录IAM账号时，需要输入根账号的ID(是一串数字)，以及IAM账号的用户名和密码

登录上IAM账号后，查看账号简介，@后面的数字和My Account后面的数字标识了当前IAM账号属于哪个根账号。

我们通过搜索进入CodeCommit控制台。

点击【创建储存库】

输入储存库的名称和描述，点击【创建】按钮，完成代码仓库的创建。 

现在这个IAM账号已经可以访问CodeCommit的任何服务了，但是，仅限于它访问CodeCommit。

如果你这时候尝试访问Lambda，那么将会被服务拒绝。