云中的身份和访问管理 (IAM) 是一个控制谁或什么可以访问特定资源以及他们可以执行哪些操作的框架。它确保只有授权用户、服务或系统才能与云基础设施、数据或应用程序交互。 IAM 的工作原理是定义策略，指定资源的权限（例如读取、写入或删除访问权限），例如数据库、存储桶或虚拟机。例如，开发人员可以使用 IAM 授予后端服务将日志写入云存储桶的权限，但不允许其修改现有文件。这种精细的控制有助于防止未经授权的访问并降低安全风险。
IAM 系统通常包括三个核心组件：身份（用户、组、角色）、策略（定义权限的规则）和资源（云服务或数据）。身份可以代表人类用户（如开发人员或管理员）或非人类实体（如应用程序或服务器）。策略通常以结构化格式（如 JSON 或 YAML）编写并附加到身份。例如，AWS IAM 使用类似 "Effect": "Allow", "Action": "s3:GetObject", "Resource": "arn:aws:s3:::example-bucket/*" 的策略来允许读取特定 S3 存储桶中的对象。角色是另一个关键概念，允许临时权限——例如，允许虚拟机访问数据库而无需硬编码凭据。AWS、Azure 和 GCP 等云提供商提供的 IAM 工具具有相似的原则，但语法和功能各不相同。
对于开发人员来说，了解 IAM 对于构建安全应用程序至关重要。配置错误的 IAM 策略是数据泄露的常见原因，例如意外地将云存储桶设置为可公开读取。为避免这种情况，开发人员应遵循最小权限原则——仅授予所需的最低权限。例如，CI/CD 管道可能需要一个将代码部署到服务器的角色，但不应有删除服务器的权限。AWS IAM Access Analyzer 或 GCP 的 Policy Troubleshooter 等工具可帮助识别过于宽松的策略。此外，IAM 与其他云服务（如审计日志记录（例如，AWS CloudTrail）或多因素身份验证 (MFA)）集成，以提供分层安全性。通过使用 Terraform 等基础设施即代码 (IaC) 工具自动执行 IAM 策略，团队可以强制实施一致性并减少人为错误。