🖼️ See the drawing + lab 🏠 Course home 🌿 Branch on GitHub ✏️ View source

🖼️ आकृती आणि labThe drawing + lab पूर्ण पानावर उघडा ↗Open full page ↗

🎩 धडा 04 — Roles: टोप्या, माणसे नव्हे

📍 तुम्ही इथे आहात: 12 पैकी धडा 04 · मागे: lesson-03-policies · पुढे: lesson-05-machine-identities

📦 या ब्रँचमध्ये काय आहे

धडे 01–03, आणि त्यासोबत policies नंतरची IAM ची सर्वात महत्त्वाची कल्पना: roles — मुदत संपणाऱ्या timer सह घालता येणाऱ्या ओळखी. खरी file:

iam/ec2-role-trust-policy.json — खरा "ही टोपी कोण घालू शकते" दस्तऐवज

🧒 5 वर्षांच्या मुलाला समजावल्यासारखे

शाळा कार्यालयाजवळच्या स्टँडवर खास टोप्या 🎩 ठेवते:

"बदली शिक्षिका" टोपी — जी ती घालेल ती हजेरी घेऊ शकते आणि staff room वापरू शकते;
"परीक्षा पर्यवेक्षक" टोपी — जी ती घालेल ती परीक्षेचे कपाट उघडू शकते, फक्त परीक्षेच्या वेळी.

टोप्या माणसे नाहीत. त्यांना password नाही, घर नाही. प्रत्येक टोपीला दोन दस्तऐवज लटकवलेले असतात:

ती कोण घालू शकते 🤝 — trust policy. "कोणतीही शिक्षिका बदली टोपी घालू शकते." "फक्त EC2 service बाकांवर टोप्या घालू शकते."
घालणारी काय करू शकते 📝 — धडा 03 मधल्या नेहमीच्या परवानगी चिठ्ठ्या.

टोपी घालणे = AssumeRole. कार्यालय (STS) तुम्हाला तात्पुरती credentials ⏳ देते — ती साधारण एक तास चालतात, मग विरघळून नाहीशी होतात. आणि नोंदवही सुंदर असते: "कतरिनाने, परीक्षा-पर्यवेक्षक टोपी घालून, 10:02 ला कपाट उघडले." व्यक्ती आणि टोपी, दोन्ही, नेहमी.

कतरिनाला थेट परवानग्या देण्यापेक्षा टोप्या का चांगल्या? कारण अधिकार कामासोबत राहतात, व्यक्तीसोबत नाही: आज जी ते काम करते तिला टोपी द्या, टोपीचे अधिकार एकाच ठिकाणी audit करा, आणि चोरण्यासारखे दीर्घकाळ टिकणारे काहीही अस्तित्वात नसते.

🗺️ आकृती

flowchart LR
    you["🧑 you - a user<br/>or a service, or CI"]
    subgraph hat["🎩 role: deploy-admin"]
        trust["🤝 trust policy:<br/>WHO may wear it"]
        perms["📝 permission slips:<br/>what the hat may do"]
    end
    creds["⏳ temporary creds<br/>valid ~1h, then poof"]
    act["☁️ act AS the hat<br/>audit: person + hat"]
    you -->|"1 sts:AssumeRole"| hat
    hat -->|"2 STS issues"| creds
    creds -->|"3"| act

❓ काय

Role = परवानग्या असलेली पण स्वतःची credentials नसलेली ओळख. Trust policy "ती कोण assume करू शकते" याचे उत्तर देते (एक user, एक account, ec2.amazonaws.com सारखी service, किंवा federated login).
STS (Security Token Service) तात्पुरती key+secret+token अशी तिकडी बनवते; मुळात 1 तास, बदलता येतो.
AWS मध्ये माणूस नसलेले सगळे काही roles नेच चालते — आणि माणसेही संवेदनशील कामे अशीच करतात ("दिवसभर prod अधिकार घेऊन फिरण्याऐवजी या कामापुरता prod-admin role assume करा").
Cross-account access = account B मधला role जो account A वर विश्वास ठेवतो. Shared users, कधीच नाही.

🤔 का

कायमच्यापेक्षा तात्पुरते चांगले: फुटलेले 1 तासाचे credential म्हणजे एक वाईट दुपार; फुटलेली कायमची key म्हणजे crypto-mining चे bill आणि incident report. Roles कामाला व्यक्तीपासून वेगळे करतात — groups ने माणसांसाठी केलेली तीच युक्ती, machines आणि क्षणांपर्यंत वाढवलेली.

🧪 करून पाहा (मोफत)

ACCOUNT=$(aws sts get-caller-identity --query Account --output text)

# a hat that trusts YOU (your own account):
cat > /tmp/trust.json <<EOF
{"Version":"2012-10-17","Statement":[{"Effect":"Allow",
 "Principal":{"AWS":"arn:aws:iam::${ACCOUNT}:root"},"Action":"sts:AssumeRole"}]}
EOF
aws iam create-role --role-name lab-hat --assume-role-policy-document file:///tmp/trust.json
aws iam attach-role-policy --role-name lab-hat \
  --policy-arn arn:aws:iam::aws:policy/AmazonEC2ReadOnlyAccess

# put the hat on:
aws sts assume-role --role-arn arn:aws:iam::${ACCOUNT}:role/lab-hat \
  --role-session-name trying-hats --query 'Credentials.Expiration'
# → an expiry timestamp ~1h away. THAT's the whole magic. ⏳

# who may wear the EC2 hat in this repo? read the real file:
cat iam/ec2-role-trust-policy.json    # Principal: ec2.amazonaws.com (lesson 05!)

# cleanup:
aws iam detach-role-policy --role-name lab-hat --policy-arn arn:aws:iam::aws:policy/AmazonEC2ReadOnlyAccess
aws iam delete-role --role-name lab-hat

✅ तपासा — तुम्हाला काय दिसायला हवे

aws sts assume-role साधारण एका तासाने संपणाऱ्या Expiration सह credentials परत देतो; त्यानंतर get-caller-identity तुमचा user नव्हे, तर role ARN दाखवतो.

🧹 साफसफाई — काहीही चालू ठेवू नका

साफ करण्यासारखे काही नाही — हा धडा मोफत आहे 🎉

⚠️ नेहमीच्या चुका

* ला role assume करू देणारी trust policy — कोणीही घालू शकेल अशी टोपी
तात्पुरती credentials config file मध्ये paste करणे (ती संपतात; तोच तर मुद्दा आहे)
तीन पातळ्यांचे role-chaining आणि मग कोणी काय केले याचे आश्चर्य — CloudTrail वाचा

⏭️ पुढे

ROBOTS वर टोप्या: EC2 instances आणि CI pipelines कुठेही password नसताना अधिकार कसे मिळवतात — इतर तिन्ही courses ने शांतपणे वापरलेली पद्धत.

git checkout lesson-05-machine-identities

🎩 Lesson 04 — Roles: hats, not people

📍 You are here: Lesson 04 of 12 · Previous: lesson-03-policies · Next: lesson-05-machine-identities

📦 What's in this branch

Lessons 01–03, plus the most important IAM idea after policies: roles — wearable identities with an expiry timer. Real file:

iam/ec2-role-trust-policy.json — a real "who may wear this hat" document

🧒 Explain like I'm 5

The school keeps special hats 🎩 on a stand by the office:

the "substitute teacher" hat — whoever wears it may take attendance and use the staff room;
the "exam invigilator" hat — whoever wears it may open the exam cupboard, during exams only.

The hats are not people. They have no password, no home. Two documents hang from each hat:

Who may wear it 🤝 — the trust policy. "Any teacher may wear the substitute hat." "Only the EC2 service may put hats on desks."
What the wearer may do 📝 — normal permission slips from lesson 03.

Putting a hat on = AssumeRole. The office (STS) hands you temporary credentials ⏳ — they work for about an hour, then dissolve into nothing. And the logbook is beautiful: "Katrina, wearing exam-invigilator, opened the cupboard at 10:02." Person AND hat, always.

Why hats beat handing Katrina the permissions directly? Because the powers live with the job, not the person: give the hat to whoever does the job today, audit the hat's powers in one place, and NOTHING long-lived exists to steal.

🗺️ Diagram

flowchart LR
    you["🧑 you - a user<br/>or a service, or CI"]
    subgraph hat["🎩 role: deploy-admin"]
        trust["🤝 trust policy:<br/>WHO may wear it"]
        perms["📝 permission slips:<br/>what the hat may do"]
    end
    creds["⏳ temporary creds<br/>valid ~1h, then poof"]
    act["☁️ act AS the hat<br/>audit: person + hat"]
    you -->|"1 sts:AssumeRole"| hat
    hat -->|"2 STS issues"| creds
    creds -->|"3"| act

❓ What

Role = identity with permissions but no credentials of its own. Trust policy answers "who may assume it" (a user, an account, a service like ec2.amazonaws.com, or a federated login).
STS (Security Token Service) mints the temporary key+secret+token triple; default 1 hour, configurable.
Roles are how everything non-human works in AWS — and also how humans do sensitive things ("assume the prod-admin role for this task" instead of walking around with prod powers all day).
Cross-account access = a role in account B trusting account A. No shared users, ever.

🤔 Why

Temporary beats permanent: a leaked 1-hour credential is a bad afternoon; a leaked permanent key is a crypto-mining bill and an incident report. Roles also separate the job from the person — the exact trick groups did for humans, extended to machines and moments.

🧪 Try it (free)

ACCOUNT=$(aws sts get-caller-identity --query Account --output text)

# a hat that trusts YOU (your own account):
cat > /tmp/trust.json <<EOF
{"Version":"2012-10-17","Statement":[{"Effect":"Allow",
 "Principal":{"AWS":"arn:aws:iam::${ACCOUNT}:root"},"Action":"sts:AssumeRole"}]}
EOF
aws iam create-role --role-name lab-hat --assume-role-policy-document file:///tmp/trust.json
aws iam attach-role-policy --role-name lab-hat \
  --policy-arn arn:aws:iam::aws:policy/AmazonEC2ReadOnlyAccess

# put the hat on:
aws sts assume-role --role-arn arn:aws:iam::${ACCOUNT}:role/lab-hat \
  --role-session-name trying-hats --query 'Credentials.Expiration'
# → an expiry timestamp ~1h away. THAT's the whole magic. ⏳

# who may wear the EC2 hat in this repo? read the real file:
cat iam/ec2-role-trust-policy.json    # Principal: ec2.amazonaws.com (lesson 05!)

# cleanup:
aws iam detach-role-policy --role-name lab-hat --policy-arn arn:aws:iam::aws:policy/AmazonEC2ReadOnlyAccess
aws iam delete-role --role-name lab-hat

✅ Verify — what you should see

aws sts assume-role returns credentials with an Expiration about an hour away; get-caller-identity afterwards shows the role ARN, not your user.

🧹 Clean up — do not leave running

nothing to clean up — this lesson is free 🎉

⚠️ Common mistakes

a trust policy that lets * assume the role — the hat anyone can wear
pasting the temporary credentials into a config file (they expire; that's the point)
role-chaining three deep and then wondering who did what — read CloudTrail

⏭️ Next

Hats on ROBOTS: how EC2 instances and CI pipelines get powers with no passwords anywhere — the pattern all three other courses quietly used.

git checkout lesson-05-machine-identities

← Previouspolicies Next →machine identities

This page is the lesson's README from the lesson-04-roles branch, shown here so the whole School stays on one site. Code files open on GitHub at the same branch.