IAM（身份和访问管理）控制访问

IAM 仅控制对 AWS API 的访问。虽然这覆盖范围很广，但并不包含所有内容。

AWS 中 API 的使用

将对象写入 S3 存储桶是通过 API 完成的。同样，创建新存储桶、修改现有对象的元数据以及设置存储桶复制等功能也都通过 API 实现，因此受到 IAM 的保护。

除了 S3，调用 Lambda 函数、启动 EC2 实例、获取账户中 IAM 用户列表等操作也都是通过各自的 API 完成的。

但如果一个 EC2 实例使用弹性 IP 托管了一个 Web 服务器，对该服务器的请求并不会经过任何 AWS 提供的 API，因此不受 IAM 策略的约束。然而，当该 Web 服务器需要向 DynamoDB 请求读取数据时，它再次调用了 AWS API。

这看起来似乎限制较多，但实际上 AWS API 是账户内几乎所有操作的入口。AWS 中的每一个资源都只能通过 API 访问，而这些 API 调用均受 IAM 控制。

控制台和 SDK 都使用 AWS API。这意味着我们在控制台上能执行的几乎所有的操作，也都受到 IAM 策略的约束。综合来看，这些覆盖了我们在账户中绝大多数的操作行为。

正因如此，IAM 是我们拥有的最重要的安全工具。

注意： IAM 仅保护 AWS API。

来测试一下你目前为止学到的知识吧！