AWS账号实名代过 AWS亚马逊云防关联技巧

你有没有经历过这种窒息时刻：刚在AWS上开好三个EC2实例跑测试，第二天登录控制台，发现其中一个账号被暂停了——理由是“存在异常关联行为”。你挠着头点开邮件，里面连个具体IP或日志ID都不给，只有一句冷冰冰的“系统检测到高风险模式”。

别急着骂AWS客服（他们确实也帮不上忙），这事儿真不怪算法太敏感，而是你悄悄把三台服务器养成了“三胞胎”：同源密钥、共享IAM角色、用同一台跳板机SSH登录、甚至连User-Agent都懒得改——AWS不是福尔摩斯，但它比你妈还懂什么叫“一家人一个味儿”。

防关联，本质不是躲猫猫，而是做减法+加戏。减掉所有暴露血缘关系的共性特征；加戏，是给每个身份编一套不重样、有逻辑、经得起回溯的“人设”。下面这些招，全是我在帮跨境电商、独立站、灰度测试团队救火时，亲手踩坑、反复验证过的硬核操作，没一句虚的。

第一关：别让IAM成为你的“家族族谱”

很多人建完主账号，顺手创建三个子用户，全绑定同一个PowerUserAccess策略——这等于给仨孩子发同一张全家福身份证。AWS后台一眼看穿：这三个身份，权限一致、创建时间接近、命名带序号（user1/user2/user3）、甚至MFA设备都来自同一台手机。系统不封你封谁？

实操方案：每个子账号必须拥有唯一且窄口径的权限边界。比如A账号只允许启动t3.micro实例（限定Region+Tag+AMI ID）；B账号仅能读取特定前缀的S3桶（s3:GetObject + Resource: arn:aws:s3:::bucket-b-prod/*）；C账号干脆只配sts:AssumeRole，靠临时凭证干活。别心疼写Policy，AWS Policy Simulator白给，5分钟就能测出最小权限集。

再补一刀：禁用控制台密码登录，全员强制MFA + CLI访问。MFA设备别共用！每人一台YubiKey或Google Authenticator——硬件级隔离，比DNA还准。

第二关：EC2不是宿舍，是单人公寓

很多人图省事，一台EC2装仨Docker容器，分别跑不同业务。表面看资源利用率高，实际埋雷：同一内核、同一/etc/hostname、同一SSH host key、同一/var/log/auth.log里混着三套登录记录……AWS的VPC Flow Logs和GuardDuty可不管你是容器还是进程，只要流量从同一ENI出去，它就记作“同源行为”。

破局点就一个字：散。
→ 每个业务独占一台EC2（哪怕t2.nano），用--instance-initiated-shutdown-behavior terminate保安全；
→ 启动时强制重置SSH host key：rm -f /etc/ssh/ssh_host_* && dpkg-reconfigure openssh-server；
→ /etc/hostname绝不留默认名（ip-10-0-1-123），改成web-prod-01-ash这类带业务+区域+序号的无规律组合；
→ 关键！禁用cloud-init自动生成/etc/machine-id，手动写入UUID：echo 'e8b7f4a2-1c9d-4b6f-9a0e-3f2d1c8b9a01' > /etc/machine-id——这个ID，每台机器必须不同，且不能用uuidgen实时生成（时间戳可能暴露关联）。

第三关：别让CloudFront变成“广播站”

用CloudFront分发S3静态网站？小心！默认缓存策略会把User-Agent、Accept-Language甚至Cookie全扔进缓存键（Cache Key）。结果是你用Chrome访问A站，Edge访问B站，系统却把两个请求当“同一用户”缓存，导致A站的JS脚本污染B站页面——浏览器指纹直接串供。

解法不是关缓存，而是精筛缓存键：
→ 在Cache Policy里，只保留Host头和Accept-Encoding；
→ 明确勾选“Exclude query strings from cache key”（除非你真需要参数级缓存）；
→ 把User-Agent、Referer、Cookie统统踢出缓存维度，改用Lambda@Edge在响应头注入X-Request-ID做行为追踪——既满足审计，又不污染缓存。

第四关：S3的匿名访问，是蜜糖也是刀片

很多人把S3当CDN用，开public read，放图片、JS、CSS。但注意：所有匿名GET请求，日志里Remote IP字段全是-，而Requester字段却是空——AWS没法区分是谁发起的，只能靠Referer和User-Agent反推。如果A、B、C三个站点都引用同一S3 bucket里的common.js，且User-Agent全是Mozilla/5.0 (X11; Linux x86_64)，恭喜，你已被打上“团伙作案”标签。