Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Passa a un IAM ruolo (AWS CLI)

Un ruolo specifica un insieme di autorizzazioni che è possibile utilizzare per accedere AWS risorse di cui hai bisogno. In questo senso, è simile a un utente in AWS Identity and Access Management(IAM). Quando effettui l'accesso come utente, ottieni uno specifico set di autorizzazioni. Tuttavia, non effettui l'accesso a un ruolo, ma dopo aver effettuato l'accesso come utente, puoi passare a un ruolo. Ciò consente di accantonare temporaneamente le autorizzazioni utente originali e usufruire invece delle autorizzazioni assegnate al ruolo. Il ruolo può essere assegnato al tuo account o a qualsiasi altro Account AWS. Per ulteriori informazioni sui ruoli, sui relativi vantaggi e su come crearli e configurarli, vedereIAMruoli, eIAMcreazione di ruoli. Per informazioni sui diversi metodi che si possono utilizzare per assumere un ruolo, consulta Metodi per assumere un ruolo.

È possibile utilizzare un ruolo per eseguire un AWS CLI comando quando hai effettuato l'accesso come IAM utente. È inoltre possibile utilizzare un ruolo per eseguire un AWS CLI comando quando hai effettuato l'accesso come utente autenticato esternamente (SAMLo OIDC) che sta già utilizzando un ruolo. Inoltre, è possibile utilizzare un ruolo per eseguire un AWS CLI comando dall'interno di un'EC2istanza Amazon collegato a un ruolo tramite il relativo profilo di istanza. Non puoi assumere un ruolo quando accedi come Utente root dell'account AWS.

Concatenamento del ruolo: puoi anche utilizzare la concatenamento dei ruoli che utilizza le autorizzazioni di un ruolo per accedere a un secondo ruolo.

Come impostazione predefinita, la sessione del ruolo dura un'ora. Quando si assume questo ruolo utilizzando le assume-role* CLI operazioni, è possibile specificare un valore per il duration-seconds parametro. Questo valore può variare da 900 secondi (15 minuti) fino alla durata massima della sessione per il ruolo. Se cambi ruolo nella console, la durata della sessione è limitata a un massimo di un'ora. Per informazioni su come visualizzare il valore massimo per il ruolo, consulta Aggiornare la durata massima della sessione per un ruolo.

Se si utilizza il concatenamento dei ruoli, la tua durata della sessione è limitata a un massimo di un'ora. Se successivamente utilizzi il parametro duration-seconds per fornire un valore superiore a un'ora, l'operazione ha esito negativo.

Scenario di esempio: passaggio a un ruolo di produzione

Immaginate di essere un IAM utente che lavora nell'ambiente di sviluppo. In questo scenario, a volte è necessario utilizzare l'ambiente di produzione dalla riga di comando con AWS CLI. Hai già a disposizione un set di credenziali di chiave di accesso. Questa può essere la coppia di chiavi di accesso assegnata al tuo IAM utente standard. Oppure, se hai effettuato l'accesso come un utente federato, può essere la coppia di chiavi di accesso per il ruolo che ti è stato inizialmente assegnato. Se le autorizzazioni attuali ti garantiscono la possibilità di assumere un IAM ruolo specifico, puoi identificare quel ruolo in un «profilo» nel AWS CLI file di configurazione. Tale comando viene quindi eseguito con le autorizzazioni del IAM ruolo specificato, non con l'identità originale. Nota che quando specifichi quel profilo in un AWS CLI comando, stai usando il nuovo ruolo. In questa situazione, non puoi utilizzare le autorizzazioni originali nell'account di sviluppo nello stesso momento. Il motivo è che solo un set di autorizzazioni può essere attivo alla volta.

Per ulteriori informazioni, vedere Assumere un ruolo in AWS Command Line Interface Guida per l'utente.

Scenario di esempio: consentire a un ruolo del profilo dell'istanza di passare a un ruolo in un altro account

Immagina di usarne due Account AWS e desideri consentire l'esecuzione di un'applicazione in esecuzione su un'EC2istanza Amazon AWS CLIcomandi in entrambi gli account. Supponiamo che l'EC2istanza esista nell'account111111111111. Tale istanza include il ruolo del profilo dell'istanza abcd che consente all'applicazione di eseguire attività Amazon S3 di sola lettura nel bucket amzn-s3-demo-bucket1 all'interno dello stesso account 111111111111. Tuttavia, l'applicazione deve anche poter assumere il ruolo tra più account efgh per eseguire attività nell'account 222222222222. A tale scopo, il ruolo del profilo dell'abcdEC2istanza deve avere la seguente politica di autorizzazioni:

Policy di autorizzazioni del ruolo abcd 111111111111 dell'account

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowAccountLevelS3Actions",
            "Effect": "Allow",
            "Action": [
                "s3:GetBucketLocation",
                "s3:GetAccountPublicAccessBlock",
                "s3:ListAccessPoints",
                "s3:ListAllMyBuckets"
            ],
            "Resource": "arn:aws:s3:::*"
        },
        {
            "Sid": "AllowListAndReadS3ActionOnMyBucket",
            "Effect": "Allow",
            "Action": [
                "s3:Get*",
                "s3:List*"
            ],
            "Resource": [
                "arn:aws:s3:::amzn-s3-demo-bucket1/*",
                "arn:aws:s3:::amzn-s3-demo-bucket1"
            ]
        },
        {
            "Sid": "AllowIPToAssumeCrossAccountRole",
            "Effect": "Allow",
            "Action": "sts:AssumeRole",
            "Resource": "arn:aws:iam::222222222222:role/efgh"
        }
    ]
}

Supponiamo che il ruolo tra account efgh consenta attività Amazon S3 di sola lettura nel bucket amzn-s3-demo-bucket2 all'interno dello stesso account 222222222222. A tale scopo, il ruolo tra account efgh deve disporre della seguente policy di autorizzazioni:

Policy di autorizzazioni del ruolo efgh 222222222222 dell'account

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowAccountLevelS3Actions",
            "Effect": "Allow",
            "Action": [
                "s3:GetBucketLocation",
                "s3:GetAccountPublicAccessBlock",
                "s3:ListAccessPoints",
                "s3:ListAllMyBuckets"
            ],
            "Resource": "arn:aws:s3:::*"
        },
        {
            "Sid": "AllowListAndReadS3ActionOnMyBucket",
            "Effect": "Allow",
            "Action": [
                "s3:Get*",
                "s3:List*"
            ],
            "Resource": [
                "arn:aws:s3:::amzn-s3-demo-bucket2/*",
                "arn:aws:s3:::amzn-s3-demo-bucket2"
            ]
        }
    ]
}

Il ruolo efgh deve consentire al ruolo del profilo dell'istanza abcd di assumerlo. A tale scopo, il ruolo efgh deve disporre della seguente policy di attendibilità:

Policy di attendibilità del ruolo efgh dell'account 222222222222

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "efghTrustPolicy",
            "Effect": "Allow",
            "Action": "sts:AssumeRole",
            "Principal": {"AWS": "arn:aws:iam::111111111111:role/abcd"}
        }
    ]
}

Per poi eseguire AWS CLI per i comandi presenti nell'account222222222222, è necessario aggiornare il file CLI di configurazione. Identifica il efgh ruolo come «profilo» e il ruolo del profilo di abcd EC2 istanza come «fonte delle credenziali» nel AWS CLI file di configurazione. Quindi i CLI comandi vengono eseguiti con le autorizzazioni del efgh ruolo, non con il abcd ruolo originale.

Per ulteriori informazioni, consulta Assumere un ruolo in AWS Command Line Interface Guida per l'utente.