Quando você usaria uma role IAM em vez de um usuário IAM?

Use roles quase sempre. Uma role fornece credenciais de vida curta que um serviço, uma carga de trabalho ou um humano federado assume sob demanda, então não existe chave estática para vazar ou rotacionar. Usuários IAM significam chaves de acesso de vida longa, que deveriam ficar limitadas a sistemas que genuinamente não conseguem federar. Para pessoas, use single sign on com assunção de role; para sistemas de CI, use federação OIDC para trocar o token do job por uma role.

Meu padrão é role para tudo, porque as credenciais são temporárias e emitidas sob demanda, então não tem nada parado em um arquivo de configuração esperando ser commitado em um repositório. Uma carga de trabalho na nuvem recebe uma role anexada à instância, à task ou à função e pega as credenciais no serviço de metadados. Uma pessoa chega lá pelo single sign on, assumindo uma role por uma sessão com expiração. Um pipeline de build fora da nuvem usa federação de identidade, então o job apresenta um token assinado do provedor dele e troca por uma role restrita que dura minutos. Esse último tirou o último conjunto de chaves estáticas que a gente tinha. Usuários IAM eu guardo para os casos genuinamente teimosos, normalmente uma integração antiga de terceiro que só sabe receber uma chave e um segredo, e esses são restritos a uma ação em um recurso, rotacionados periodicamente e monitorados. Quando eu herdo uma conta, uma das primeiras coisas que eu faço é puxar o relatório de credenciais e caçar chaves que têm anos e continuam ativas.