IAM user की जगह IAM role आप कब इस्तेमाल करेंगे?

role लगभग हमेशा इस्तेमाल करें। role कम अवधि वाले credentials देता है जिन्हें कोई service, workload या federated इंसान जरूरत पड़ने पर assume करता है, तो लीक होने या rotate करने लायक कोई static key बचती ही नहीं। IAM user का मतलब है लंबी अवधि की access key, जो सिर्फ उन्हीं सिस्टम तक सीमित रहनी चाहिए जो सचमुच federate नहीं कर सकते। लोगों के लिए single sign on के साथ role assumption इस्तेमाल करें; CI सिस्टम के लिए OIDC federation से job token को role में बदलें।

मेरा डिफॉल्ट हर चीज के लिए role है, क्योंकि credentials अस्थायी होते हैं और जरूरत पड़ने पर जारी होते हैं, तो किसी config फाइल में ऐसा कुछ नहीं पड़ा रहता जो किसी repository में commit होने का इंतजार कर रहा हो। क्लाउड में कोई workload instance, task या function से जुड़ा role लेता है और metadata service से credentials उठा लेता है। कोई व्यक्ति single sign on से वहां पहुंचता है, expiry वाले session के लिए role assume करके। क्लाउड के बाहर की कोई build pipeline identity federation इस्तेमाल करती है, तो job अपने provider से एक signed token पेश करती है और उसे बदलकर कुछ मिनट चलने वाला सीमित role ले लेती है। उस आखिरी चीज ने हमारी बची हुई आखिरी static key भी हटा दी थी। IAM user मैं सचमुच जिद्दी मामलों के लिए रखता हूं, आमतौर पर कोई पुराना third party integration जो सिर्फ key और secret लेना जानता है, और वे एक resource पर एक action तक सीमित होते हैं, तय समय पर rotate होते हैं, और उन पर नजर रहती है। जब मुझे कोई account विरासत में मिलता है, तो सबसे पहले मैं credential report निकालकर ऐसी key ढूंढता हूं जो सालों पुरानी हैं और अब भी active हैं।