概念
总结
让我们快速回顾一下本课程内容，重点说明IAM在决定是否允许请求时所执行的重要步骤。
每当 AWS 账户中的资源发生变更时，都会通过 AWS 的某个 API 来实现。IAM 通过策略来保护这些 API，我们可以将这些策略附加到账户中的不同实体上。正因为如此，IAM 是保障 AWS 账户安全最关键的服务。所有访问资源的操作都必须经过 IAM 的控制，但我们需要负责正确配置，仅允许正常操作所需的权限，拒绝其他一切请求。
回顾
IAM 遵循一个明确的流程来决定是否允许某个请求。首先，它会根据请求本身的数据以及关于资源、主体（Principal）和其他来源的元数据构建请求上下文。这部分内容我们在“访问元素”一课中已经详细介绍过。
接下来，系统会收集所有可能应用于该请求的策略。策略是 JSON 格式的文档，可以附加到身份（用户、用户组或角色）、资源、会话、身份作为权限边界，或账户级别。每种策略文档都定义了一组属性，说明其在授权过程中如何发挥作用。其中大多数是“过滤器”，用于指定该策略适用于哪些请求。我们已在“IAM 策略”章节中讲解了策略的工作机制。
授权过程的最后一步是“策略评估过程”。在此阶段，IAM 会分析匹配的策略，并决定是否允许请求中的操作。这个过程包含多个步骤，我们在 “评估流程” 课程中已经详细讨论过。
通过理解 AWS 访问控制背后的运行机制，我们能够准确判断账户中谁可以执行哪些操作，并编写出能够精确控制权限、细粒度地允许或拒绝操作的策略。而严格的访问控制正是构建安全云环境的基础。