【AWS】什么是AWS 账户的根用户

AWS 账户的根用户 (Root User) 是您在首次创建 AWS 账户时，通过提供电子邮件地址和密码所创建的身份。

您可以将 AWS 账户的根用户想象成您整个 AWS 账户的**“超级管理员”或“最高权限拥有者”。它拥有您 AWS 账户中所有 AWS 服务和资源的完全访问权限**。

根用户的重要特性和最佳实践

1. 最高权限：根用户拥有对您 AWS 账户中所有服务和资源的完全、不受限制的访问权限。这意味着它可以执行任何操作，包括更改账户设置、管理计费信息、关闭账户等，而这些操作是 IAM 用户（即使是管理员用户）通常无法执行的。敏感操作： 只有根用户才能执行某些极其敏感和关键的账户管理任务，例如：更改账户设置（如账户名称、联系信息）。关闭 AWS 账户。更改或取消 AWS Support 计划。更改或查看某些计费信息。恢复 IAM 用户的密码或多重身份验证 (MFA) 设备。
2. 安全性最佳实践：强烈建议不要日常使用： 由于根用户拥有最高权限，AWS 强烈建议您不要将根用户用于日常任务，即使是管理任务。首次登录后： 首次创建账户并登录后，应立即为根用户启用多重身份验证 (MFA)。创建 IAM 管理员用户： 立即创建一个具有管理员权限的 IAM (Identity and Access Management) 用户，并使用该 IAM 用户进行日常的 AWS 操作和管理。妥善保管凭证： 根用户的凭证（电子邮件和密码）应像银行账户信息一样受到严格保护。仅在必要时使用： 只有在执行只有根用户才能执行的少数特定任务时，才使用根用户凭证登录。
3. 与 IAM 用户的区别：IAM 用户 (IAM User)： 是您在 AWS 账户中创建的实体，用于代表个人或应用程序执行任务。IAM 用户只拥有您明确授予的权限，并且可以通过策略进行精细控制。这是日常操作 AWS 服务的推荐方式。根用户： 账户的原始创建者，拥有所有权限，且权限无法被限制。
4. 在中国区域的特殊性：无根用户概念： 在 AWS 中国区域（北京和宁夏区域），没有“根用户”的概念。所有用户都是 IAM 用户，包括创建账户的用户。这意味着在这些区域，即使是账户创建者也需要通过 IAM 用户进行操作，且某些通常由根用户执行的敏感操作可能需要联系 AWS 中国区域的支持团队。

总结来说，AWS 账户的根用户是您 AWS 账户中权限最高的身份。为了账户安全，强烈建议您只在执行少数特定和关键任务时才使用它，并始终为其启用 MFA，日常操作应使用具有适当权限的 IAM 用户。

过去考试题

次のうち、AWS アカウントのルート ユーザーの特徴はどれですか?

1. root ユーザーは、多要素認証 (MFA) で構成できる唯一のユーザーです。
2. root ユーザーは、AWS マネジメントコンソールにアクセスできる唯一のユーザーです。
3. root ユーザーは、AWS アカウントの作成時に使用できる最初のサインイン ID です。
4. root ユーザーのパスワードは変更できません。

AWS アカウントを作成するときに、root ユーザーとそのパスワードを設定します。

root ユーザーは、アカウントの設定を行うための強力な特権を持つ特別なユーザーであり、

通常の運用では使用しないことが推奨されています。

A. root ユーザーだけでなく、IAM ユーザーにも MFA を設定できます。

B. IAM ユーザーを作成することで、各ユーザーに適切な権限を付与してコンソールにアクセスできます。

D. root ユーザーのパスワードは変更できます。

过去考试题

AWSアカウントのrootユーザー認証情報を使用する必要があるタスクはどれか。

1. EC2インスタンスへのSSH接続
2. CloudFormationスタックの作成
3. IAMユーザーの作成
4. S3バケットの作成

IAMユーザーの作成には、rootユーザー認証情報を使用する必要があります。

これは、IAMユーザーの作成や管理が非常に高い権限を持つ操作であり、rootユーザーのみがこれを実行できるためです。

A: EC2インスタンスへのSSH接続は、IAMユーザーやEC2インスタンスに割り当てられた適切な権限があれば実行できます。rootユーザーは不要です。

B: CloudFormationスタックの作成も、IAMユーザーに適切な権限があれば実行できます。rootユーザーは不要です。

D: S3バケットの作成も、IAMユーザーに適切な権限があれば実行できます。rootユーザーは不要です。

过去考试题

あなたは企業のAWSアカウント管理者です。ルートユーザーは最上位の特権アカウントであるため、セキュリティリスクを最小限に抑えつつ運用する必要があります。ルートユーザーの管理に関するベストプラクティスとして、最も適切なものはどれですか？

1. ルートユーザーに多要素認証（MFA）を必須設定し、必要時以外は利用しない
2. ルートユーザーで日常的なリソース作成や設定変更を行う
3. ルートユーザーのアクセスキーを作成し、API呼び出しに使用する
4. ルートユーザーの認証情報をチーム全員で共有する

正解は A です。ルートユーザーは最上位の特権を持つため、MFAを有効化して厳重に保護し、通常の操作はIAMユーザーやグループで行うのがベストプラクティスです。

選択肢 B ： 日常操作は権限を絞ったIAMユーザーで行うべきで、ルートユーザーを多用するとリスクが高まるため誤りです。

選択肢 C ： ルートユーザーのアクセスキーは不要かつセキュリティリスクが高いため、作成せず削除することが推奨されるため誤りです。

選択肢 D ： 認証情報の共有は管理と追跡を困難にし、重大なセキュリティインシデントにつながるため誤りです。