AWS IAM Roles: 10 प्रॅक्टिकल उदाहरणं Step by Step

By Ravindra Bagale, trainer · LinkedIn · Last updated: 24 October 2026

1. आधी रोजचं उदाहरण

हे का लागतं?

Hinjewadi, Pune मधल्या office चा visitor badge आठवा.

Security visitor ला master key देत नाही. एका floor साठी, एका दिवसासाठी badge देतात.

AWS मध्ये long-lived access keys म्हणजे master key. Role म्हणजे visitor badge.

हे काय आहे?

प्रत्येक role ला दोन भाग असतात. खालच्या 10 उदाहरणांसाठी हे लक्षात ठेवा.

• Trust policy — badge कोण घालू शकतो (EC2, Lambda, दुसरा account, GitHub).
• Permissions policy — badge कोणते दरवाजे उघडतो (S3 read, DynamoDB write).

सगळी उदाहरणं region ap-south-1 (Mumbai) मध्ये. 111111111111 च्या जागी तुमचा account id टाका.

2. उदाहरण 1: EC2 S3 bucket वाचतो

हे का लागतं?

EC2 वरच्या app ला S3 मधून files वाचायच्या आहेत. Beginners access keys ~/.aws/credentials मध्ये टाकतात. Server मध्ये घुसणाऱ्याला keys मिळतात.

हे काय आहे?

Instance profile म्हणजे role EC2 पर्यंत नेणारा डबा. Instance ला metadata service कडून ताज्या temporary keys मिळतात. Disk वर keys नाहीत.

Trust policy (role कोण वापरू शकतो):

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Principal": { "Service": "ec2.amazonaws.com" },
    "Action": "sts:AssumeRole"
  }]
}

Permissions policy (role काय करू शकतो):

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Action": ["s3:GetObject", "s3:ListBucket"],
    "Resource": [
      "arn:aws:s3:::ravi-app-files",
      "arn:aws:s3:::ravi-app-files/*"
    ]
  }]
}

कसं करायचं (step by step)

1. IAM → Roles → Create role.
2. Trusted entity: AWS service → Use case EC2 → Next.
3. वरची permissions policy ec2-s3-read-ravi नावाने बनवा आणि select करा.
4. Role name: ec2-s3-read-role → Create role.
5. EC2 → instance select → Actions → Security → Modify IAM role → role निवडा → Update.

CLI ने verify करा:

# run on the EC2 instance
aws sts get-caller-identity
aws s3 ls s3://ravi-app-files/ --region ap-south-1

Expected output:

"Arn": "arn:aws:sts::111111111111:assumed-role/ec2-s3-read-role/i-0abc123..."
2026-10-24 10:00:00   1024 report.csv

3. उदाहरण 2: Lambda DynamoDB मध्ये लिहितो

हे का लागतं?

Order API Lambda ला orders save करायच्या आहेत. पूर्ण table delete करता येऊ नये.

हे काय आहे?

Execution role म्हणजे Lambda प्रत्येक run ला घालतो ती role.

Trust policy (role कोण वापरू शकतो):

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Principal": { "Service": "lambda.amazonaws.com" },
    "Action": "sts:AssumeRole"
  }]
}

Permissions policy (role काय करू शकतो):

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Action": ["dynamodb:PutItem", "dynamodb:GetItem"],
    "Resource": "arn:aws:dynamodb:ap-south-1:111111111111:table/Orders"
  }]
}

कसं करायचं (step by step)

1. IAM → Roles → Create role → AWS service → Lambda.
2. वरची policy (lambda-orders-write) आणि AWSLambdaBasicExecutionRole attach करा.
3. Role name: orders-lambda-role.
4. Lambda → function → Configuration → Permissions → Edit → ही role निवडा → Save.

CLI ने verify करा:

aws lambda invoke --function-name orders-api \
  --payload '{"id":"o1"}' --cli-binary-format raw-in-base64-out \
  out.json --region ap-south-1
aws dynamodb get-item --table-name Orders \
  --key '{"id":{"S":"o1"}}' --region ap-south-1

Expected output:

{ "StatusCode": 200 }
{ "Item": { "id": { "S": "o1" } } }

4. उदाहरण 3: Lambda CloudWatch Logs लिहितो

हे का लागतं?

तुमच्या print() किंवा console.log() lines CloudWatch ला पोहोचल्या पाहिजेत. नाहीतर debugging अंधारात.

हे काय आहे?

AWSLambdaBasicExecutionRole ही AWS managed policy आहे. ती फक्त log group आणि log stream लिहू देते.

Trust policy (role कोण वापरू शकतो):

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Principal": { "Service": "lambda.amazonaws.com" },
    "Action": "sts:AssumeRole"
  }]
}

Permissions policy (role काय करू शकतो):

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Action": [
      "logs:CreateLogGroup",
      "logs:CreateLogStream",
      "logs:PutLogEvents"
    ],
    "Resource": "*"
  }]
}

कसं करायचं (step by step)

1. Lambda → Create function → Create a new role with basic Lambda permissions तसंच ठेवा.
2. Create function. AWS my-fn-role-abc123 सारखी role बनवतो.
3. एकदा Test दाबा.
4. Monitor → View CloudWatch logs.

CLI ने verify करा:

aws logs describe-log-groups \
  --log-group-name-prefix /aws/lambda/my-fn --region ap-south-1

Expected output:

"logGroupName": "/aws/lambda/my-fn"

5. उदाहरण 4: CloudWatch agent ने EC2 logs आणि metrics पाठवतो

हे का लागतं?

Default EC2 metrics मध्ये memory आणि disk use दिसत नाही. CloudWatch agent ते पाठवतो, app log files सुद्धा.

हे काय आहे?

EC2 role ला AWS managed policy CloudWatchAgentServerPolicy attach करा.

Trust policy (role कोण वापरू शकतो):

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Principal": { "Service": "ec2.amazonaws.com" },
    "Action": "sts:AssumeRole"
  }]
}

Permissions policy (role काय करू शकतो):

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Action": [
      "cloudwatch:PutMetricData",
      "logs:CreateLogStream",
      "logs:PutLogEvents",
      "logs:DescribeLogStreams",
      "ec2:DescribeTags"
    ],
    "Resource": "*"
  }]
}
// short view of CloudWatchAgentServerPolicy

कसं करायचं (step by step)

1. IAM → Roles → Create role → AWS service → EC2.
2. CloudWatchAgentServerPolicy attach करा. नाव ec2-cw-agent-role.
3. Instance ला role attach करा (Actions → Security → Modify IAM role).
4. Instance वर: sudo yum install -y amazon-cloudwatch-agent.
5. Wizard चालवा: sudo /opt/aws/amazon-cloudwatch-agent/bin/amazon-cloudwatch-agent-config-wizard, मग agent start करा.

CLI ने verify करा:

aws cloudwatch list-metrics --namespace CWAgent --region ap-south-1

Expected output:

"MetricName": "mem_used_percent"

6. उदाहरण 5: ECS Fargate task role vs task execution role

हे का लागतं?

Fargate ला दोन roles असतात. ते मिसळणं हा ECS interview मधला मोठा trap.

हे काय आहे?

Task execution role ECS साठी: ECR मधून image pull, container logs. Task role तुमच्या app code साठी: S3, DynamoDB, SQS call.

Trust policy (role कोण वापरू शकतो):

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Principal": { "Service": "ecs-tasks.amazonaws.com" },
    "Action": "sts:AssumeRole"
  }]
}
// same trust for both roles

Permissions policy (role काय करू शकतो):

// task execution role: attach AWS managed
//   AmazonECSTaskExecutionRolePolicy
// task role (your app):
{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Action": "s3:GetObject",
    "Resource": "arn:aws:s3:::ravi-app-files/*"
  }]
}

कसं करायचं (step by step)

1. IAM → Create role → AWS service → Elastic Container Service Task.
2. Role 1: AmazonECSTaskExecutionRolePolicy attach. नाव ecsTaskExecutionRole.
3. Role 2: तुमची S3 read policy attach. नाव orders-task-role.
4. ECS → Task definitions → Create → Task execution role = role 1, Task role = role 2.

CLI ने verify करा:

aws ecs describe-task-definition --task-definition orders \
  --query "taskDefinition.[taskRoleArn,executionRoleArn]" \
  --region ap-south-1

Expected output:

[ "arn:aws:iam::111111111111:role/orders-task-role",
  "arn:aws:iam::111111111111:role/ecsTaskExecutionRole" ]

7. उदाहरण 6: Cross-account access (account A, account B मधली role assume करतो)

हे का लागतं?

Company कडे dev account (A, 111111111111) आणि prod account (B, 222222222222) आहे. A मधल्या tester ला B मधले logs वाचायचे आहेत. B मध्ये user बनवू नका.

हे काय आहे?

B मध्ये account A ला trust करणारी role बनवा. A मधला user sts assume-role call करतो आणि B च्या temporary keys मिळवतो.

Trust policy (role कोण वापरू शकतो):

// in account B (222222222222)
{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Principal": { "AWS": "arn:aws:iam::111111111111:root" },
    "Action": "sts:AssumeRole",
    "Condition": { "StringEquals": { "sts:ExternalId": "ravi-2026" } }
  }]
}

Permissions policy (role काय करू शकतो):

// in account B: role permissions
// attach AWS managed CloudWatchLogsReadOnlyAccess
// in account A: user/group permission to assume
{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Action": "sts:AssumeRole",
    "Resource": "arn:aws:iam::222222222222:role/prod-log-reader"
  }]
}

कसं करायचं (step by step)

1. Account B मध्ये → IAM → Create role → AWS account → Another AWS account → 111111111111 टाका.
2. Require external ID tick → ravi-2026.
3. CloudWatchLogsReadOnlyAccess attach. नाव prod-log-reader.
4. Account A मध्ये tester group ला वरची assume policy attach करा.

CLI ने verify करा:

aws sts assume-role \
  --role-arn arn:aws:iam::222222222222:role/prod-log-reader \
  --role-session-name ravi-tester --external-id ravi-2026
# export the 3 values, then:
aws sts get-caller-identity

Expected output:

"Account": "222222222222",
"Arn": "arn:aws:sts::222222222222:assumed-role/prod-log-reader/ravi-tester"

8. उदाहरण 7: GitHub Actions OIDC role ने AWS ला deploy करतो

हे का लागतं?

GitHub secrets मध्ये AWS_ACCESS_KEY_ID ठेवणं risky. Keys expire होत नाहीत आणि logs किंवा forks मधून leak होऊ शकतात.

हे काय आहे?

GitHub प्रत्येक workflow run ला signed OIDC token देतो. AWS GitHub ला identity provider म्हणून trust करतो आणि token च्या बदल्यात temporary keys देतो.

Trust policy (role कोण वापरू शकतो):

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Principal": {
      "Federated": "arn:aws:iam::111111111111:oidc-provider/token.actions.githubusercontent.com"
    },
    "Action": "sts:AssumeRoleWithWebIdentity",
    "Condition": {
      "StringEquals": {
        "token.actions.githubusercontent.com:aud": "sts.amazonaws.com"
      },
      "StringLike": {
        "token.actions.githubusercontent.com:sub": "repo:ravindrabagale/site:ref:refs/heads/main"
      }
    }
  }]
}

Permissions policy (role काय करू शकतो):

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Action": ["s3:PutObject", "s3:ListBucket"],
    "Resource": [
      "arn:aws:s3:::ravi-site-bucket",
      "arn:aws:s3:::ravi-site-bucket/*"
    ]
  }]
}

कसं करायचं (step by step)

1. IAM → Identity providers → Add provider → OpenID Connect.
2. Provider URL https://token.actions.githubusercontent.com, audience sts.amazonaws.com → Add.
3. IAM → Create role → Web identity → हा provider → GitHub org, repo, branch टाका.
4. S3 deploy policy attach. नाव github-deploy-role.
5. Workflow मध्ये permissions: id-token: write आणि aws-actions/configure-aws-credentials step, role-to-assume व aws-region: ap-south-1 सोबत.

CLI ने verify करा:

# workflow step
- run: aws sts get-caller-identity

Expected output:

"Arn": "arn:aws:sts::111111111111:assumed-role/github-deploy-role/GitHubActions"

9. उदाहरण 8: Switch role ने developer read-only role

हे का लागतं?

Developer ला prod बघायचं आहे, बदलायचं नाही. Prod मध्ये full user देणं जास्त होतं.

हे काय आहे?

ReadOnlyAccess role. Developer console मध्ये Switch role दाबतो. Trust मध्ये MFA required.

Trust policy (role कोण वापरू शकतो):

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Principal": { "AWS": "arn:aws:iam::111111111111:user/priya" },
    "Action": "sts:AssumeRole",
    "Condition": { "Bool": { "aws:MultiFactorAuthPresent": "true" } }
  }]
}

Permissions policy (role काय करू शकतो):

// attach AWS managed policy: ReadOnlyAccess

कसं करायचं (step by step)

1. IAM → Create role → AWS account → This account (किंवा दुसरा) → Require MFA tick.
2. ReadOnlyAccess attach. नाव dev-readonly.
3. Developer MFA ने sign in → वरच्या उजव्या account menu → Switch role.
4. Account id, role dev-readonly, display name आणि colour → Switch Role.

CLI ने verify करा:

# CLI profile in ~/.aws/config
[profile ro]
role_arn = arn:aws:iam::111111111111:role/dev-readonly
source_profile = default
mfa_serial = arn:aws:iam::111111111111:mfa/priya

aws ec2 describe-instances --profile ro --region ap-south-1
aws ec2 stop-instances --instance-ids i-0abc --profile ro

Expected output:

Enter MFA code for arn:aws:iam::111111111111:mfa/priya:
{ "Reservations": [ ... ] }
An error occurred (UnauthorizedOperation) ... stop-instances

10. उदाहरण 9: Service-linked role (Auto Scaling आणि ELB)

हे का लागतं?

Auto Scaling ला तुमच्यासाठी EC2 launch आणि stop करायचे असतात. ELB ला targets register करायचे असतात. त्यांना तुमच्या account मध्ये permission लागते.

हे काय आहे?

Service-linked role AWS service स्वतः बनवते आणि सांभाळते. नाव AWSServiceRoleFor ने सुरू. त्याच्या permissions तुम्ही edit करू शकत नाही.

Trust policy (role कोण वापरू शकतो):

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Principal": { "Service": "autoscaling.amazonaws.com" },
    "Action": "sts:AssumeRole"
  }]
}
// AWS writes this for you

Permissions policy (role काय करू शकतो):

// AWS managed, locked:
// AutoScalingServiceRolePolicy
// You only read it. You do not edit it.

कसं करायचं (step by step)

1. पहिला Auto Scaling group किंवा load balancer बनवा. AWS role आपोआप बनवतो.
2. IAM → Roles → AWSServiceRoleFor search करा.
3. AWSServiceRoleForAutoScaling उघडा → Trust relationships आणि Permissions वाचा.
4. कोणताही Auto Scaling group असताना ते delete करू नका.

CLI ने verify करा:

aws iam get-role --role-name AWSServiceRoleForAutoScaling \
  --query "Role.[Path,Arn]"

Expected output:

[ "/aws-service-role/autoscaling.amazonaws.com/",
  "arn:aws:iam::111111111111:role/aws-service-role/autoscaling.amazonaws.com/AWSServiceRoleForAutoScaling" ]

11. उदाहरण 10: EC2 Secrets Manager आणि SSM Parameter Store वाचतो

हे का लागतं?

App ला DB password लागतो. .env किंवा Git मध्ये hard-code करणं हा classic leak.

हे काय आहे?

Password Secrets Manager मध्ये (किंवा SecureString parameter मध्ये) ठेवा. EC2 role फक्त तो एकच secret वाचतो.

Trust policy (role कोण वापरू शकतो):

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Principal": { "Service": "ec2.amazonaws.com" },
    "Action": "sts:AssumeRole"
  }]
}

Permissions policy (role काय करू शकतो):

{
  "Version": "2012-10-17",
  "Statement": [
    { "Effect": "Allow",
      "Action": "secretsmanager:GetSecretValue",
      "Resource": "arn:aws:secretsmanager:ap-south-1:111111111111:secret:prod/db-*" },
    { "Effect": "Allow",
      "Action": "ssm:GetParameter",
      "Resource": "arn:aws:ssm:ap-south-1:111111111111:parameter/app/db_host" }
  ]
}

कसं करायचं (step by step)

1. Secrets Manager → Store a new secret → Other type → key password → name prod/db.
2. Systems Manager → Parameter Store → Create → /app/db_host.
3. वरची policy EC2 role ला add करा (inline किंवा customer managed).
4. Role instance ला attach करा.

CLI ने verify करा:

aws secretsmanager get-secret-value --secret-id prod/db \
  --query SecretString --output text --region ap-south-1
aws ssm get-parameter --name /app/db_host \
  --query Parameter.Value --output text --region ap-south-1

Expected output:

{"password":"..."}
mydb.abc123.ap-south-1.rds.amazonaws.com

12. Role attach असेल तर code ला keys लागत नाहीत

हे का लागतं?

Students विचारतात: “Code मध्ये key कुठे टाकू?” उत्तर: कुठेच नाही.

हे काय आहे?

प्रत्येक AWS SDK default credential chain वापरतो. EC2 metadata, Lambda किंवा ECS मधून role keys तो स्वतः शोधतो.

कसं करायचं (step by step)

Python (boto3)

import boto3
s3 = boto3.client("s3", region_name="ap-south-1")   # no keys
print(s3.list_objects_v2(Bucket="ravi-app-files")["KeyCount"])

Node.js (SDK v3)

import { S3Client, ListObjectsV2Command } from "@aws-sdk/client-s3";
const s3 = new S3Client({ region: "ap-south-1" }); // no keys
const r = await s3.send(new ListObjectsV2Command({ Bucket: "ravi-app-files" }));
console.log(r.KeyCount);

Java (SDK v2)

S3Client s3 = S3Client.builder()
    .region(Region.AP_SOUTH_1)       // no keys
    .build();
System.out.println(s3.listObjectsV2(r -> r.bucket("ravi-app-files")).keyCount());

AWS CLI

aws s3 ls s3://ravi-app-files/ --region ap-south-1
# no aws configure needed on EC2 / Lambda / ECS with a role

13. Role vs access keys

14. नेहमीच्या errors आणि fix

15. Cleanup

1. EC2 instances वरून roles detach करा आणि lab instances stop/terminate करा.
2. Lab Lambda functions, ECS task definitions आणि log groups delete करा.
3. IAM → Roles → तुम्ही बनवलेल्या lab roles delete करा (AWSServiceRoleFor… नाही).
4. Customer managed lab policies delete करा.
5. गरज नसेल तर GitHub OIDC provider काढा.
6. Lab secret (7-day recovery) आणि parameter delete करा.

16. Interview

उजळणी, तुलना आणि मुलाखत cards

हा lesson काही मिनिटांत revise करा. Cards phone वर save करा किंवा PNG download करा. प्रत्येक card वरचा QR हा lesson उघडतो.

अजून cards: Ravi Sir's Cards.