Amazon web services 每个应用程序的iam用户

对于我希望为多个应用程序创建IAM用户以访问同一资源的业务流程之一，我考虑了以下选项：

创建1个IAM用户，并跨业务中的应用程序使用凭据

为每个应用程序创建单个IAM用户并使用各自的凭据

我浏览了一遍，它提到IAM用户可以是应用程序或系统

我知道1的优点是它简化了流程，只需管理一个IAM用户

但是2使应用程序相互独立，并提供对凭证的细粒度控制

---

在这种情况下，创建IAM的最佳实践是什么？为什么？

通常，AWS更喜欢创建单个IAM用户，以便于管理和审核。您还可以在不影响其他系统用户的情况下撤销对特定应用程序的访问。看

我也引用白皮书的话

我们强烈反对使用共享用户身份，如果 多个实体共享相同的凭据

---

通常，AWS倾向于创建单个IAM用户，以便于管理和审核。您还可以在不影响其他系统用户的情况下撤销对特定应用程序的访问。看

我也引用白皮书的话

我们强烈反对使用共享用户身份，如果 多个实体共享相同的凭据

---

使用2，同时使用附加到用户/角色的策略，这样访问相同资源的应用程序都可以附加相同的策略（DRY：不要重复自己）。如果在EC2上运行的应用程序使用角色而不是用户，请尽可能避免在应用程序中存储凭据。感谢at0mzk，我将有一个凭据存储，这样我就不会将它们保留在EC2实例上，而是将为资源权限创建组和策略。我正在寻找使用2的数据点，因为遵循KISS原则意味着使用1Go和2，并且使用附加到用户/角色的策略，因此访问相同资源的应用程序都可以附加相同的策略（DRY：不要重复自己）。如果在EC2上运行的应用程序使用角色而不是用户，请尽可能避免在应用程序中存储凭据。感谢at0mzk，我将有一个凭据存储，这样我就不会将它们保留在EC2实例上，而是将为资源权限创建组和策略。我正在寻找使用2的数据点，因为遵循KISS原则意味着使用1