AWS IAM: Quản lý quyền truy cập an toàn trong hệ thống của bạn

Ví dụ policy đơn giản cho phép đọc S3:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "s3:GetObject",
      "Resource": "arn:aws:s3:::my-bucket/*"
    }
  ]
}

Thực hành: Tạo người dùng IAM và gán quyền

Giả sử bạn muốn tạo user cho một developer chỉ được xem EC2 và khởi động lại instance.

1. Vào AWS Console → tìm **IAM**.
2. Chọn **Users** → **Create user**.
3. Nhập tên: dev-trung.
4. Tích chọn **AWS Management Console access** → đặt mật khẩu.
5. Bỏ qua phần "Access key" (nếu chỉ dùng console).
6. Ở bước **Permissions**, chọn **Add user to group** → tạo group mới tên EC2-Operators.
7. Gán policy cho group:
   • Chọn **Attach policies**.
   • Tìm và chọn AmazonEC2ReadOnlyAccess.
   • Tạo policy tùy chỉnh để cho phép ec2:RebootInstances (xem ví dụ dưới).
8. Hoàn tất → gửi thông tin đăng nhập cho developer.

Policy tùy chỉnh cho phép reboot EC2:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "ec2:RebootInstances",
      "Resource": "*"
    }
  ]
}

IAM Role cho EC2 — cách an toàn để ứng dụng truy cập AWS

Khi ứng dụng trên EC2 cần truy cập S3, DynamoDB, v.v., **đừng dùng access key**. Thay vào đó:

1. Tạo IAM Role với quyền cần thiết (ví dụ: s3:PutObject).
2. Gán role đó vào EC2 instance khi tạo (hoặc attach sau).
3. Trong code, dùng AWS SDK — SDK sẽ tự lấy temporary credentials từ metadata service của EC2.

Ưu điểm:

• Không lưu secret trên máy → giảm rủi ro rò rỉ.
• Credentials tự động luân chuyển (rotate) — không cần quản lý.

Best practices bảo mật với IAM

• Không bao giờ dùng tài khoản root để làm việc hàng ngày. Dùng root chỉ để tạo IAM admin đầu tiên.
• Áp dụng nguyên tắc least privilege: chỉ cấp quyền tối thiểu cần thiết.
• Luôn bật MFA cho user quan trọng (đặc biệt là admin).
• Định kỳ xem lại quyền: dùng IAM Credentials Report hoặc AWS Access Analyzer.
• Không dùng inline policy — dùng managed policy để tái sử dụng và quản lý tập trung.
• Xóa user/role không dùng** — tránh “rác quyền” tích tụ theo thời gian.