如何将 IAM 凭证限制给特定的服务器角色？

Question

我想创建一个对 AWS 而言“有效 root”的用户（意味着太多 service:* 权限），但只允许此用户从具有特定角色的服务器进行操作。我不想让服务器自己拥有角色的原因是我想将密钥存储在安全的保管库中，然后只在容器内运行命令，因此理想情况下，入侵不相关的容器仍然不会让某人获得对 AWS 的“有效 root”访问权限，因为他们仍然没有凭证。我必须做什么才能实现这一点？