Asumsikan peran penyedia kredensia

Konfigurasikan fungsi ini dengan menggunakan yang berikut:

credential_source- pengaturan AWS config file bersama

Digunakan dalam instans Amazon EC2 atau wadah Amazon Elastic Container Service untuk menentukan di mana SDK atau alat dapat menemukan kredenSIAL yang memiliki izin untuk mengambil peran yang Anda tentukan dengan role_arn parameter.

Nilai default: Tidak ada

Nilai yang valid:

• Lingkungan - Menentukan bahwa SDK atau alat adalah untuk mengambil kredenSIAL sumber dari variabel lingkungan AWS_ACCESS_KEY_ID dan AWS_SECRET_ACCESS_KEY.

• Ec2InstanceMetadata- Menentukan bahwa SDK atau alat akan menggunakan peran IAM yang dilampirkan ke profil instans EC2 untuk mendapatkan kredenSIAL sumber.

• EcsContainer— Menentukan bahwa SDK atau alat akan menggunakan peran IAM yang dilampirkan ke wadah Amazon ECS atau peran IAM yang dilampirkan ke wadah Amazon EKS untuk mendapatkan kredenSIAL sumber.

Anda tidak dapat menentukan keduanya credential_source dan source_profile dalam profil yang sama.

Contoh pengaturan ini dalam config file untuk menunjukkan bahwa kredenSIAL harus bersumber dari Amazon EC2:

credential_source = Ec2InstanceMetadata
role_arn = arn:aws:iam::123456789012:role/my-role-name

duration_seconds- pengaturan AWS config file bersama

Menentukan durasi maksimum sesi peran, dalam detik.

Pengaturan ini hanya berlaku ketika profil menentukan untuk mengambil peran.

Nilai default: 3600 detik (satu jam)

Nilai yang valid: Nilai dapat berkisar dari 900 detik (15 menit) hingga pengaturan durasi sesi maksimum yang dikonfigurasi untuk peran (yang bisa maksimal 43200 detik, atau 12 jam). Untuk informasi selengkapnya, lihat Melihat Pengaturan Durasi Sesi Maksimum untuk Per an di Panduan Pengguna IAM.

Contoh pengaturan ini dalam config file:

duration_seconds = 43200

external_id- pengaturan AWS config file bersama

Menentukan pengenal unik yang digunakan oleh pihak ketiga untuk mengambil peran dalam akun pelanggan mereka.

Pengaturan ini hanya berlaku jika profil menentukan untuk mengambil peran dan kebijakan kepercayaan untuk peran tersebut memerlukan nilai untukExternalId. Nilai dipetakan ke ExternalId parameter yang diteruskan ke AssumeRole operasi ketika profil menentukan peran.

Nilai default: Tidak ada.

Nilai yang valid: Lihat Cara menggunakan ID Eksternal Saat Memberikan Akses ke Sumber AWS Daya Anda kepada Pihak Keti ga di Panduan Pengguna IAM.

Contoh pengaturan ini dalam config file:

external_id = unique_value_assigned_by_3rd_party

mfa_serial- pengaturan AWS config file bersama

Menentukan identifikasi atau nomor seri perangkat otentikasi multi-faktor (MFA) yang harus digunakan pengguna saat mengambil peran.

Diperlukan saat mengambil peran di mana kebijakan kepercayaan untuk peran tersebut menyertakan kondisi yang memerlukan otentikasi MFA. Untuk informasi selengkapnya tentang MFA, lihat AWS Multi-factor otentikasi di IAM di Panduan Pengguna IAM.

Nilai default: Tidak ada.

Nilai yang valid: Nilai dapat berupa nomor seri untuk perangkat keras (sepertiGAHT12345678), atau Nama Sumber Daya Amazon (ARN) untuk perangkat MFA virtual. Format ARN adalah: arn:aws:iam::account-id:mfa/mfa-device-name

Contoh pengaturan ini dalam config file:

Contoh ini mengasumsikan perangkat MFA virtual, yang disebutMyMFADevice, yang telah dibuat untuk akun dan diaktifkan untuk pengguna.

mfa_serial = arn:aws:iam::123456789012:mfa/MyMFADevice

role_arn- pengaturan AWS config file bersama

AWS_ROLE_ARN- variabel lingkungan

aws.roleArn- Properti sistem JVM: hanya Java/Kotlin

Menentukan Nama Sumber Daya Amazon (ARN) dari peran IAM yang ingin Anda gunakan untuk melakukan operasi yang diminta menggunakan profil ini.

Nilai default: Tidak ada.

Nilai yang valid: Nilai harus berupa ARN dari peran IAM, diformat sebagai berikut: arn:aws:iam::account-id:role/role-name

Selain itu, Anda juga harus menentukan salah satu pengaturan berikut:

• source_profile— Untuk mengidentifikasi profil lain yang akan digunakan untuk menemukan kredenSIAL yang memiliki izin untuk mengambil peran dalam profil ini.

• credential_source— Untuk menggunakan kredenSIAL yang diidentifikasi oleh variabel lingkungan saat ini atau kredenSIAL yang dilampirkan ke profil instans Amazon EC2, atau instans kontainer Amazon ECS.

• web_identity_token_file— Untuk menggunakan penyedia identitas publik atau penyedia identitas yang kompatibel dengan OpenID Connect (OIDC) untuk pengguna yang telah diautentikasi dalam aplikasi seluler atau web.

role_session_name- pengaturan AWS config file bersama

AWS_ROLE_SESSION_NAME- variabel lingkungan

aws.roleSessionName- Properti sistem JVM: hanya Java/Kotlin

Menentukan nama untuk dilampirkan ke sesi peran. Nama ini muncul di AWS CloudTrail log untuk entri yang terkait dengan sesi ini, yang dapat berguna saat mengaudit. Untuk detailnya, lihat elemen CloudTrail userIdenti ty di Panduan AWS CloudTrail Pengguna.

Nilai default: Parameter opsional. Jika Anda tidak memberikan nilai ini, nama sesi akan dibuat secara otomatis jika profil mengambil peran.

Nilai yang valid: Dis ediakan ke RoleSessionName parameter saat AWS API AWS CLI atau memang AssumeRole gil operasi (atau operasi seperti AssumeRoleWithWebIdentity operasi) atas nama Anda. Nilai menjadi bagian dari pengguna peran yang diasumsikan Amazon Resource Name (ARN) yang dapat Anda kueri, dan muncul sebagai bagian dari entri CloudTrail log untuk operasi yang dipanggil oleh profil ini.

arn:aws:sts::123456789012:assumed-role/my-role-name/my-role_session_name.

Contoh pengaturan ini dalam config file:

role_session_name = my-role-session-name

source_profile- pengaturan AWS config file bersama

Menentukan profil lain yang kredensialnya digunakan untuk mengambil peran yang ditentukan oleh role_arn pengaturan di profil asli. Untuk memahami bagaimana profil digunakan dalam file bersama AWS config dan credentials file, lihatBerbagi config dan credentials file.

Jika Anda menentukan profil yang juga merupakan profil peran asumsi, setiap peran akan diasumsikan secara berurutan untuk menyelesaikan kredenSIAL sepenuhnya. Rantai-rantai ini dihentikan ketika SDK menemukan profil dengan kredenSIAL. Rantaian peran membatasi sesi peran Anda AWS CLI atau AWS API hingga maksimal satu jam dan tidak dapat ditingkatkan. Untuk informasi selengkapnya, lihat Istilah dan konsep peran di Panduan Pengguna IAM.

Nilai default: Tidak ada.

Nilai yang valid: Sebuah string teks yang terdiri dari nama profil yang ditentukan dalam credentials file config dan. Anda juga harus menentukan nilai untuk role_arn di profil saat ini.

Anda tidak dapat menentukan keduanya credential_source dan source_profile dalam profil yang sama.

Contoh pengaturan ini dalam file konfigurasi:

[profile A]
source_profile = B
role_arn =  arn:aws:iam::123456789012:role/RoleA
role_session_name = ProfileARoleSession
                
[profile B]
credential_process = ./aws_signing_helper credential-process --certificate /path/to/certificate --private-key /path/to/private-key --trust-anchor-arn arn:aws:rolesanywhere:region:account:trust-anchor/TA_ID --profile-arn arn:aws:rolesanywhere:region:account:profile/PROFILE_ID --role-arn arn:aws:iam::account:role/ROLE_ID

Pada contoh sebelumnya, A profil memberitahu SDK atau alat untuk secara otomatis mencari kredenSIAL untuk B profil yang ditautkan. Dalam hal ini, B profil menggunakan alat pembantu kredensi yang disediakan oleh Menggunakan Peran IAM Di Mana Saja untuk mengautentikasi dan AWS SDKs alat untuk mendapatkan kredenSIAL untuk AWS SDK. KredenSIAL sementara tersebut kemudian digunakan oleh kode Anda untuk mengakses AWS sumber daya. Peran yang ditentukan harus melampirkan kebijakan izin IAM yang memungkinkan kode yang diminta untuk dijalankan, seperti perintah Layanan AWS, atau metode API. Setiap tindakan yang diambil oleh profil A memiliki nama sesi peran yang disertakan dalam CloudTrail log.

Untuk contoh rantai peran kedua, konfigurasi berikut dapat digunakan jika Anda memiliki aplikasi pada instans Amazon Elastic Compute Cloud, dan Anda ingin aplikasi tersebut mengambil peran lain.

[profile A]
source_profile = B
role_arn =  arn:aws:iam::123456789012:role/RoleA
role_session_name = ProfileARoleSession
                
[profile B]
credential_source=Ec2InstanceMetadata

Profil A akan menggunakan kredenSIAL dari instans Amazon EC2 untuk mengambil peran yang ditentukan dan akan memperbarui kredenSIAL secara otomatis.

web_identity_token_file- pengaturan AWS config file bersama

AWS_WEB_IDENTITY_TOKEN_FILE- variabel lingkungan

aws.webIdentityTokenFile- Properti sistem JVM: hanya Java/Kotlin

Menentukan jalur ke file yang berisi token akses dari penyedia OAuth 2.0 yang didukung atau penyedia identitas OpenID Connect ID.

Pengaturan ini mengaktifkan otentikasi dengan menggunakan penyedia federasi identitas web, seperti Google, Facebook, dan Amazon, di antara banyak lainnya. SDK atau alat pengembang memuat konten file ini dan meneruskannya sebagai WebIdentityToken argumen ketika memanggil AssumeRoleWithWebIdentity operasi atas nama Anda.

Nilai default: Tidak ada.

Nilai yang valid: Nilai ini harus berupa jalur dan nama file. File harus berisi token akses OAuth 2.0 atau token OpenID Connect yang diberikan kepada Anda oleh penyedia identitas. Jalur relatif diperlakukan sebagai relatif terhadap direktori kerja proses.