Блог

Я пытаюсь получить доступ к корзине s3 в учетной записи A из учетной записи B.

Я следовал этому руководству по варианту ролей IAM для разных учетных записей. Затем, чтобы взять на себя эту роль, я использую эту команду aws cli в своем коде:

 aws sts assume-role --role-arn "arn:aws:iam::*********:role/cross-account-s3-access" --role-session-name AWSCLI-Session
 

Я вижу, что эта роль была взята на себя:

 {
    "Credentials": {
        "AccessKeyId": "********",
        "SecretAccessKey": "********",
        "SessionToken": "********",
        "Expiration": "2021-07-29T08:46:33Z"
    },
"AssumedRoleUser": {
    "AssumedRoleId": "********:AWSCLI-Session",
    "Arn": "arn:aws:sts::********:assumed-role/cross-account-s3-access/AWSCLI-Session"
    }
}
 

Затем, чтобы проверить, сработал ли доступ между учетными записями, я выполняю следующую команду, которая возвращает отказ в доступе:

   aws s3 ls s3://digibank-endofday-files-stg
An error occurred (AccessDenied) when calling the ListObjectsV2 operation: Access Denied
 

Мой вопрос в том, что такое флаг —имя сеанса роли? Возможно, я неправильно оценил значение, но я не смог найти подходящего объяснения этому. Где я могу найти его ценность??

Поток-это:

• Используя постоянные учетные данные (например, от вашего пользователя IAM), позвоните AssumeRole() и укажите ARN желаемой роли
• Если у вас есть разрешение на вызов AssumeRole для этой роли, AWS STS вернет набор временных учетных данных
• Затем вам потребуется использовать эти учетные данные при последующих вызовах служб AWS

Таким образом, будущие звонки не будут выполняться от вашего пользователя IAM (поскольку у него нет разрешения на доступ к S3). Вместо этого вызов необходимо будет выполнить с новыми учетными данными.

Если бы вы использовали язык программирования, вы бы использовали эти учетные данные для создания нового Session объекта, а затем использовали его для выполнения вызовов API.

Однако, учитывая, что вы используете интерфейс командной строки AWS, самый простой способ предположить вызов-добавить конфигурацию в свой ~/.aws/config файл, аналогичную этой:

 [profile prodaccess]
role_arn = arn:aws:iam::123456789012:role/ProductionAccessRole
source_profile = default
 

В этой конфигурации говорится: «Используйте мои учетные данные из профиля по умолчанию, чтобы принять эту роль IAM».

Вы можете использовать его вот так:

 aws s3 ls s3://digibank-endofday-files-stg --profile prodaccess
 

Дополнительные сведения см. в разделе: Переключение на роль IAM (интерфейс командной строки AWS) — Управление идентификацией и доступом AWS

Интерфейс командной строки AWS автоматически вызовет AssumeRole() , а затем выполнит запрошенный вызов, используя возвращенные временные учетные данные.