AWS IAM: Tạo IAM User, Group & CLI từ A-Z

1. Tìm kiếm IAM trong console → Users → Create user
2. Username: admin-yourname (ví dụ: admin-john)
3. Check Provide user access to the AWS Management Console
4. Custom password → tick “Autogenerated password“: AWS sẽ tự khởi tạo password random và sẽ gửi lại password sau khi tạo. Bạn có thể tự nhập password khi tick vào “Custom password“
5. Users must create a new password at next sign-in: User khi đăng nhập sau khi tạo tài khoản sẽ yêu cầu thay đổi password mới.
6. Next → Add user to group
7. Create group → Group name: Administrators
8. Tìm và chọn policy: AdministratorAccess → Create user group
9. Add user vào group Administrators → Next → Create user
10. Download .csv hoặc ghi lại Console sign-in URL, username, password

Enable MFA cho IAM user:

1. Click vào user vừa tạo → Security credentials
2. Assign MFA device → Lặp lại quy trình như Root

Cài đặt và cấu hình AWS CLI

Linux:

Windows (PowerShell):

Tạo Access Key cho IAM User

1. Đăng nhập bằng IAM user vừa tạo (dùng Console sign-in URL từ bước 3)
2. Click tên user (góc phải) → Security credentials
3. Access keys → Create access key
4. Use case: Command Line Interface (CLI)
5. Check confirmation → Next → Create access key
6. Download .csv — lưu lại, Secret Key chỉ hiển thị một lần duy nhất!

Cấu hình AWS CLI

Kết quả mong đợi:

Nếu thấy output như trên — CLI đã kết nối thành công! ✅

Tạo IAM User thứ hai bằng CLI (Thực hành)

Tạo một IAM user thông thường (không phải admin) bằng CLI:

Kết quả:

• Lần đầu đăng nhập vào AWS Console với user developer-01, hệ thống sẽ bắt buộc đổi mật khẩu trước khi tiếp tục — đây chính là tác dụng của flag --password-reset-required khi chạy lệnh create-login-profile. Đây là best practice bảo mật, tránh để mật khẩu tạm thời tồn tại lâu dài. Đến đây việc tạo IAM user qua CLI đã hoàn tất.

Kiểm tra Permissions (Optional — nên làm)

Test xem policy có hoạt động đúng không bằng IAM Policy Simulator:

• s3:GetObject → allowed ✅
• ec2:DescribeInstances → implicitDeny ✅ (không có trong policy)

Tổng kết

Qua lab này, bạn đã thiết lập một môi trường AWS đúng chuẩn bảo mật từ đầu:

• Root user đã được bảo vệ bằng MFA — không dùng trực tiếp cho công việc hàng ngày
• IAM Admin user riêng biệt với AdministratorAccess và MFA, dùng thay Root từ đây trở đi
• AWS CLI đã cấu hình và xác thực thành công qua Access Key
• IAM Group + Policy được tạo đúng cách — permissions gán vào group, không gán thẳng vào user
• IAM User thông thường (developer-01) có đúng quyền cần thiết: S3— không hơn, không kém

Tìm đọc thêm các bài viết hữu ích khác về AWS