問：許可權是如何執行的？

將訪問控制策略掛載到使用者、組和角色，以便分配對 AWS 資源的許可權。預設情況下，IAM 使用者、組和角色沒有許可權；擁有充分許可權的使用者必須使用策略授予所需的許可權。

問：如何使用策略分配許可權？

要設定許可權，您可以使用 AWS 管理控制檯、IAM API 或 AWS CLI 建立並掛載策略。已被授予必要許可權的使用者可以建立策略並將其分配給 IAM 使用者、組和角色。

問：什麼是託管策略？

託管策略是使用 IAM 策略語言表達許可權的 IAM 資源。您可以將之與所關聯的 IAM 使用者、組和角色分開建立、修改和管理。您將託管策略關聯到多個 IAM 使用者、組或角色後，可以在一個位置更新該策略並將許可權自動擴充套件到所有關聯的實體。託管策略由您管理（稱為客戶管理的策略）或 AWS 管理（稱為 AWS 託管策略）。更多有關託管策略的資訊，請參見

託管策略與內聯策略。

問：如何建立客戶管理策略？

您可以使用v視覺化編輯器或 IAM 控制檯中的 JSON 編輯器。視覺化編輯器是一個點選式編輯器，可全程指導您利用策略授予許可權，使您無需再以 JSON 格式編寫策略。您可以使用 CLI 和軟體開發工具包建立 JSON 策略。

問：如何分配常用許可權？

AWS 提供了一套常用許可權，您可以將它們關聯到您賬戶中的 IAM 使用者、組和角色。這些策略稱為 AWS 託管策略。Amazon S3 的只讀訪問許可權就是一個例子。當 AWS 更新這些策略時，許可權會自動應用到策略關聯的使用者、組和角色。AWS 託管策略自動顯示在 IAM 控制檯的策略

部分。分配許可權時，您可以使用 AWS 託管策略，也可以建立您自己的客戶管理策略。您可根據現有的 AWS 託管策略建立新的策略或定義您自己的策略。

問：基於組的許可權是如何實施的？

您可以使用 IAM 組將同一組許可權指派給多個 IAM 使用者。此外，還可以為使用者分配單獨的許可權。結合使用將許可權掛載到使用者的這兩種方法，以設定整體許可權。

問：使用 IAM 組指派許可權與使用託管策略指派許可權有什麼區別？

您可以使用 IAM 組收集 IAM 使用者併為這些使用者定義常用許可權。您可以使用託管策略在 IAM 使用者、組和角色之間共享許可權。例如，如果您希望一組使用者能夠啟動一個 Amazon EC2 例項，並且還希望該例項上的角色與組中的使用者擁有相同的許可權，則可以建立一個託管策略並將它指派給上述使用者組和 Amazon EC2 例項上的角色。

問：如何將 IAM 策略連同 Amazon S3、Amazon SQS、Amazon SNS, 和 AWS KMS 基於資源的策略一起評估？

IAM 策略是與服務的基於資源的策略一起評估的。當任何策略型別授予了訪問許可權（沒有直接拒絕）時，則此操作是被允許的。更多有關策略評估邏輯的資訊，請參見 IAM 策略評估邏輯。 

問：我能否將託管策略用作基於資源的策略？

託管策略只能掛載到 IAM 使用者、組或角色。您不可以將其用作基於資源的策略。

問：我如何使用策略設定精細許可權？

使用策略，您可以指定若干許可權粒度層級。首先，您可以定義想要允許或明確拒絕訪問的特定 AWS 服務操作。其次，根據具體操作，您可以定義可對其執行這些操作的特定 AWS 資源。第三，您可以定義指定策略何時生效的條件（例如，是否啟用了 MFA）。

問：如何輕鬆地移除不必要的許可權？

為了幫助您確定所需的許可權，IAM 控制檯現在可顯示服務上次訪問資料，以顯示 IAM 實體（使用者、組或角色）上次訪問某項 AWS 服務的時間。瞭解 IAM 實體上次使用許可權的方式和時間可幫助您刪除不必要的許可權並輕鬆加強 IAM 策略。

問：我是否可以授予許可權以訪問或更改賬戶級資訊（例如，付款方式、聯絡電子郵件地址和賬單歷史記錄）？

可以，您可以向 IAM 使用者或聯合身份使用者授予檢視 AWS 賬單資料和修改 AWS 賬戶資訊的許可權。有關如何控制賬單資訊的訪問許可權的更多資訊，請參閱控制訪問。

問：誰可以在 AWS 賬戶中建立並管理訪問金鑰？

只有 AWS 賬戶的擁有者可以管理根賬戶的訪問金鑰。賬戶擁有者和已被授予必要許可權的 IAM 使用者與角色可以管理 IAM 使用者的訪問金鑰。

問：我是否可以授予許可權以訪問歸其他 AWS 賬戶所有的 AWS 資源？
可以。通過使用 IAM 角色，IAM 使用者和關聯使用者可以通過 AWS 管理控制檯、AWS CLI 或 API 訪問其他 AWS 賬戶中的資源。請參閱管理 IAM 角色，瞭解更多資訊。

問：策略是什麼樣的？

以下策略授予訪問許可權以便在特定儲存桶 example_bucket 中的特定資料夾 example_folder 中新增、更新和刪除物件。

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Action":[
            "s3:PutObject",
            "s3:GetObject",
            "s3:GetObjectVersion",
            "s3:DeleteObject",
            "s3:DeleteObjectVersion"
         ],
         "Resource":"arn:aws:s3:::example_bucket/example_folder/*"
      }
   ]
}

問：什麼是策略摘要？

如果您在使用 IAM 控制檯並選擇了一項策略，您就會看到策略摘要。策略摘要中列出了策略中定義的每項服務的訪問級別、資源和條件（參見以下螢幕截圖中的示例）。訪問級別（檢視、讀取、寫入或許可權管理）根據策略中針對每項服務授予的操作來確定。您可以選擇 JSON 按鈕，以 JSON 格式檢視策略。