一般分部门或者项目啦，也分不同的环境（开发，生产，测试）。按照这些分类创建不同的IAM组，然后每个组赋予一些特定的权限。
EC2也是需要打标签的，让某个组的人可以访问打了某些标签的机器。
另外，在更大的企业环境中，可能需要申请很多AWS账号，这样资源的隔离更加清晰一些。

你看看IAM 最佳实践。 还有 角色+策略=配合EC2的最佳实践