AWS于8月12日宣布IAM Role Manager正式可用。这项能力会在用户通过受支持的AWS服务控制台创建资源时，自动准备该服务需要的IAM角色，减少第一次部署Lambda函数或事件流程时手动组合信任关系和权限策略的步骤。
Role Manager首批支持6个AWS服务控制台，其中包括AWS Lambda和Amazon EventBridge。系统既可以创建默认角色，也会在账号内已有角色符合要求时直接复用，管理员仍能查看、修改或停用这套自动配置机制。
创建云服务时自动准备所需角色
许多AWS服务需要通过IAM角色访问日志、存储、队列或其他资源。新用户经常会在创建资源的最后一步遇到角色名称、信任主体和策略选择，不清楚哪些权限属于服务正常运行的最低要求。
启用Role Manager后，受支持的控制台会根据当前工作流程调用AWS管理的模板。符合条件的默认角色可以自动创建，用户不必先离开服务页面进入IAM控制台逐项配置。
该功能主要改善控制台中的初始部署体验。使用基础设施即代码、命令行或自建自动化流程的团队，仍可继续按照自己的方式显式定义角色和策略。
已有角色符合要求时可以直接复用
自动化权限管理如果每次都创建新角色，容易让账号中出现大量用途相近的对象。Role Manager会检查账号里是否已经存在符合所需权限的角色，满足条件时可以复用现有角色。
复用机制有助于减少重复配置，但团队仍要确认角色的实际用途和责任边界。同一个角色被多个资源使用后，后续修改权限可能同时影响多项业务，删除前也需要检查依赖关系。
Role Manager创建的对象会作为标准IAM角色显示在控制台中，并带有可识别信息。管理员对这些角色拥有完整控制权，不会被锁定在独立、不可查看的系统对象里。
首批覆盖Lambda与EventBridge等6个控制台
AWS表示，Role Manager首批支持6个服务控制台，并明确列出Lambda和EventBridge。创建Lambda函数时，系统可以为该工作流程应用AWS管理的角色模板；事件驱动架构也能减少首次建立服务权限时的配置阻力。
官方公告没有表示所有AWS服务都已经接入。未受支持的控制台、复杂跨账号访问和需要自定义资源范围的场景，仍需要管理员自行建立角色、信任策略和权限边界。
团队在采用前应区分开发便利与生产规范。快速创建默认角色适合让资源先正确运行，核心生产服务则通常需要结合实际调用记录进一步缩小权限。
可结合Access Analyzer继续收紧权限
Role Manager使用AWS管理的模板建立可工作的起点。默认模板需要覆盖常见使用方式，因此不一定等同于每个业务的最终最小权限策略。
AWS建议在准备收紧权限时停用Role Manager，并使用IAM Access Analyzer优化每个角色。管理员可以根据实际访问活动识别真正需要的操作和资源范围，再删除长期未使用的权限。
自动创建角色也不能替代账号安全管理。多因素认证、权限边界、服务控制策略、访问密钥轮换和异常行为监控仍要独立配置，尤其是能够修改计算、存储与网络资源的管理账号。
多数区域可用但中国区域暂不支持
Role Manager已在大多数AWS区域开放，但AWS GovCloud美国区域和中国区域不在本次可用范围内。跨区域使用同一套部署流程的团队，需要为不支持的区域保留原有角色创建逻辑。
管理员可以随时启用或禁用Role Manager，也可以检查它所使用的AWS管理模板。正式推广前，应先在开发账号观察新角色名称、策略内容和复用逻辑是否符合现有治理规则。
这项更新降低的是正确建立服务角色的入门门槛，并没有取消最小权限责任。把自动生成结果当作起点，再根据真实工作负载收紧权限，才能同时获得部署效率和可控的云服务器安全边界。
