文档中心

云服务器

请输入

访问控制

基于实例IAM角色授权ECS访问其它云资源

当ECS实例需要访问其它云资源时，必须先通过访问凭证来验证身份信息和访问权限。您可以将IAM角色绑定到ECS实例，使ECS实例及其上的应用基于安全令牌服务（STS）提供的临时安全凭证访问其它云资源。相比于直接使用AccessKey访问，该方式无需透露长期AccessKey，可以保证账号下的密钥安全，也可以借助IAM功能实现更加精细化的权限控制，避免权限过度分配。

本文主要介绍如何创建IAM角色并绑定到ECS实例，以及如何基于实例IAM角色获取临时访问凭证。什么是IAM角色？

功能优势

基于实例IAM角色获取临时访问凭证来验证身份信息和访问权限，有以下优势：

使用STS临时访问凭证代替长期AccessKey访问其它云资源，可减少访问密钥泄露的风险。

STS临时访问凭证可设置自定义时效，到期后自动失效。

可为不同的实例赋予包含不同权限策略的角色，使实例对不同的云资源具有不同的访问权限，更精细粒度的约束使用者的权限范围。

无需自行在实例中保存SecretKey，权限的调整仅需通过修改IAM角色的策略即可，快捷地维护实例所拥有的访问权限。

使用限制

只有信任身份为云服务器的IAM服务角色才能绑定到ECS实例。

一台ECS实例仅允许绑定一个IAM角色（包含服务关联角色或者普通服务角色）。

暂不支持同时为多台实例绑定IAM角色。

注意事项

若您的账户为IAM用户（子账号），请先联系主账号获取访问控制IAM的管理权限。具体操作，请参见创建用户并授权。要授予的权限策略如IAMFullAccess所示。

操作步骤

步骤一：创建ECS服务角色并授权

说明

本文以创建普通服务角色为例，即不勾选“创建为服务关联角色（ ServiceLinkedRole ）”。

服务关联角色：您只需选择可信的云服务，角色信息及权限策略由系统预设，无法进行自定义。

普通服务角色：您需要选择可信的云服务，自定义角色信息和权限策略。

登录IAM角色控制台。

单击“新建角色”按钮。

选择信任的身份为“服务”，并选择“云服务器”服务。

单击“下一步”按钮，配置角色名、显示名等信息。

单击“下一步”按钮，开始添加权限。

将系统预设策略或已创建的自定义策略授权给IAM角色并指定作用范围，使其拥有相关的资源访问或操作权限。例如为当前角色添加TOSReadOnlyAccess策略，使其拥有对象存储（TOS）的只读访问权限。

说明

若当前现有策略无法满足您的精细化管理需求，您可以跳过该步骤直接创建角色。创建完成后新建自定义策略并添加至该角色。

单击“提交”按钮，完成操作。您可以在角色列表页查看新建的角色。

步骤二：将角色绑定到ECS实例

注意

实例绑定IAM角色后，将授予实例该角色拥有的所有权限，请谨慎操作。

登录云服务器控制台。

在左侧导航树中选择“实例与镜像 > 实例”。

在顶部导航栏，选择目标实例所属的项目和地域。

单击目标实例“操作”列的“··· > 实例设置 > 绑定IAM角色”。

下拉选择或直接输入要绑定的角色，单击“确定”按钮。

说明

该页面仅展示信任身份为云服务器的IAM角色，其它角色不支持绑定。

若无可用角色，您可以单击“新建角色”按钮前往创建，具体操作请参见步骤一。

步骤三：基于实例IAM角色获取临时访问凭证

通过实例IAM角色来调用安全令牌服务的AssumeRole接口，可获取到角色所属账号的临时安全凭证，从而以角色所属账号的身份来访问云资源。具体请参见AssumeRole（通过角色扮演获取临时安全令牌）。

调用该接口时，需要输入角色TRN。如下图所示，您可以在角色详情页面，获取IAM角色的TRN。

后续操作

解绑实例IAM角色

更改实例IAM角色

登录云服务器控制台。

在左侧导航树中选择“实例与镜像 > 实例”。

在顶部导航栏，选择目标实例所属的项目和地域。

单击目标实例“操作”列的“··· > 实例设置 > 解绑IAM角色”。

单击“确定”按钮进行解绑。