Assumi il ruolo di fornitore di credenziali

Configura questa funzionalità utilizzando quanto segue:

credential_source- impostazione dei AWS config file condivisi

Utilizzato all'interno delle istanze Amazon EC2 o dei contenitori Amazon Elastic Container Service per specificare dove l'SDK o lo strumento possono trovare le credenziali autorizzate ad assumere il ruolo specificato con il parametro. role_arn

Valore predefinito: Nessuno

Valori validi:

• Ambiente: specifica che l'SDK o lo strumento deve recuperare le credenziali di origine dalle variabili di ambiente e. AWS_ACCESS_KEY_IDAWS_SECRET_ACCESS_KEY

• Ec2InstanceMetadata— Specifica che l'SDK o lo strumento deve utilizzare il ruolo IAM associato al profilo dell'istanza EC2 per ottenere le credenziali di origine.

• EcsContainer— Specifica che l'SDK o lo strumento deve utilizzare il ruolo IAM collegato al contenitore Amazon ECS o il ruolo IAM collegato al contenitore Amazon EKS per ottenere le credenziali di origine.

Non è possibile specificare sia credential_source sia source_profile nello stesso profilo.

Esempio di impostazione di questo valore in un config file per indicare che le credenziali devono provenire da Amazon EC2:

credential_source = Ec2InstanceMetadata
role_arn = arn:aws:iam::123456789012:role/my-role-name

duration_seconds- impostazione di file condivisi AWS config

Specifica la durata massima della sessione del ruolo, in secondi.

Questa impostazione si applica solo quando il profilo specifica di assumere un ruolo.

Valore predefinito: 3600 secondi (un'ora)

Valori validi: il valore può variare da 900 secondi (15 minuti) fino all'impostazione della durata massima della sessione configurata per il ruolo (che può essere un massimo di 43200 secondi o 12 ore). Per maggiori informazioni, consulta Visualizzare l'impostazione della durata massima della sessione per un ruolo nella IAM User Guide.

Esempio di impostazione di questa impostazione in un config file:

duration_seconds = 43200

external_id- impostazione di un AWS config file condiviso

Specifica un identificatore univoco che viene utilizzato da terze parti per assumere un ruolo negli account dei relativi clienti.

Questa impostazione si applica solo quando il profilo specifica di assumere un ruolo e la politica di fiducia per il ruolo richiede un valore perExternalId. Il valore viene associato al ExternalId parametro passato all'AssumeRoleoperazione quando il profilo specifica un ruolo.

Valore predefinito: Nessuno.

Valori validi: vedi Come utilizzare un ID esterno per concedere l'accesso alle tue AWS risorse a una terza parte nella Guida per l'utente IAM.

Esempio di impostazione di questo valore in un config file:

external_id = unique_value_assigned_by_3rd_party

mfa_serial- impostazione di un AWS config file condiviso

Specifica l'identificazione o il numero di serie di un dispositivo di autenticazione a più fattori (MFA) che l'utente deve utilizzare quando assume un ruolo.

Obbligatorio quando si assume un ruolo in cui la politica di attendibilità per quel ruolo include una condizione che richiede l'autenticazione MFA. Per ulteriori informazioni sull'MFA, consulta AWS Multi-factor l'autenticazione in IAM nella IAM User Guide.

Valore predefinito: Nessuno.

Valori validi: il valore può essere un numero di serie per un dispositivo hardware (ad esempioGAHT12345678) o un Amazon Resource Name (ARN) per un dispositivo MFA virtuale. Il formato dell'ARN è: arn:aws:iam::account-id:mfa/mfa-device-name

Esempio di impostazione di questo valore in un config file:

Questo esempio presuppone un dispositivo MFA virtuale, chiamatoMyMFADevice, che sia stato creato per l'account e abilitato per un utente.

mfa_serial = arn:aws:iam::123456789012:mfa/MyMFADevice

role_arn- impostazione di file condivisi AWS config

AWS_ROLE_ARN- variabile d'ambiente

aws.roleArn- Proprietà del sistema JVM: solo Java/Kotlin

Specifica l'Amazon Resource Name (ARN) di un ruolo IAM che desideri utilizzare per eseguire le operazioni richieste utilizzando questo profilo.

Valore predefinito: Nessuno.

Valori validi: il valore deve essere l'ARN di un ruolo IAM, formattato come segue: arn:aws:iam::account-id:role/role-name

Inoltre, è necessario specificare una delle seguenti impostazioni:

• source_profile— Identificare un altro profilo da utilizzare per trovare le credenziali autorizzate ad assumere il ruolo in questo profilo.

• credential_source— Utilizzare le credenziali identificate dalle variabili di ambiente correnti o le credenziali allegate a un profilo di istanza Amazon EC2 o a un'istanza del contenitore Amazon ECS.

• web_identity_token_file— Utilizzare provider di identità pubblici o qualsiasi provider di identità compatibile con OpenID Connect (OIDC) per gli utenti che sono stati autenticati in un'applicazione mobile o web.

role_session_name- impostazione dei file condivisi AWS config

AWS_ROLE_SESSION_NAME- variabile d'ambiente

aws.roleSessionName- Proprietà del sistema JVM: solo Java/Kotlin

Specifica il nome da associare alla sessione del ruolo. Questo nome viene visualizzato nei AWS CloudTrail registri delle voci associate a questa sessione, il che può essere utile durante il controllo. Per i dettagli, vedere l'elemento CloudTrail UserIdentity nella Guida per l'AWS CloudTrail utente.

Valore predefinito: un parametro opzionale. Se non si fornisce questo valore, viene generato automaticamente un nome di sessione se il profilo assume un ruolo.

Valori validi: vengono forniti al RoleSessionName parametro quando l' AWS API AWS CLI o chiama l'AssumeRoleoperazione (o operazioni come l'AssumeRoleWithWebIdentityoperazione) per conto dell'utente. Il valore diventa parte del ruolo assunto dall'utente Amazon Resource Name (ARN) che puoi interrogare e viene visualizzato come parte delle voci di CloudTrail registro per le operazioni richiamate da questo profilo.

arn:aws:sts::123456789012:assumed-role/my-role-name/my-role_session_name.

Esempio di impostazione di questo valore in un config file:

role_session_name = my-role-session-name

source_profile- impostazione di un AWS config file condiviso

Specifica un altro profilo le cui credenziali vengono utilizzate per assumere il ruolo specificato dall'role_arnimpostazione nel profilo originale. Per capire come vengono utilizzati i profili nei credentials file condivisi AWS config, vedere. Condivisi config e credentials file

Se si specifica un profilo che è anche un profilo di assunzione, ogni ruolo verrà assunto in ordine sequenziale per risolvere completamente le credenziali. Questa catena viene interrotta quando l'SDK incontra un profilo con credenziali. Il concatenamento dei ruoli limita la tua sessione di ruolo AWS CLI o quella dell' AWS API a un massimo di un'ora e non può essere aumentato. Per ulteriori informazioni, consulta i termini e i concetti relativi ai ruoli nella IAM User Guide.

Valore predefinito: Nessuno.

Valori validi: una stringa di testo costituita dal nome di un profilo definito nei credentials file config e. È inoltre necessario specificare un valore per role_arn nel profilo corrente.

Non è possibile specificare sia credential_source sia source_profile nello stesso profilo.

Esempio di impostazione di questo parametro in un file di configurazione:

[profile A]
source_profile = B
role_arn =  arn:aws:iam::123456789012:role/RoleA
role_session_name = ProfileARoleSession
                
[profile B]
credential_process = ./aws_signing_helper credential-process --certificate /path/to/certificate --private-key /path/to/private-key --trust-anchor-arn arn:aws:rolesanywhere:region:account:trust-anchor/TA_ID --profile-arn arn:aws:rolesanywhere:region:account:profile/PROFILE_ID --role-arn arn:aws:iam::account:role/ROLE_ID

Nell'esempio precedente, il A profilo indica all'SDK o allo strumento di cercare automaticamente le credenziali per il profilo collegato. B In questo caso, il B profilo utilizza lo strumento di assistenza per le credenziali fornito da per ottenere le credenziali Utilizzo di IAM Roles Anywhere per l'autenticazione AWS SDKs e gli strumenti per l'SDK. AWS Queste credenziali temporanee vengono quindi utilizzate dal codice per accedere alle risorse. AWS Al ruolo specificato devono essere allegate politiche di autorizzazione IAM che consentano l'esecuzione del codice richiesto, come il comando o il Servizio AWS metodo API. Ogni azione intrapresa dal profilo A ha il nome della sessione del ruolo incluso nei CloudTrail log.

Per un secondo esempio di concatenamento dei ruoli, è possibile utilizzare la seguente configurazione se si dispone di un'applicazione su un'istanza Amazon Elastic Compute Cloud e si desidera che tale applicazione assuma un altro ruolo.

[profile A]
source_profile = B
role_arn =  arn:aws:iam::123456789012:role/RoleA
role_session_name = ProfileARoleSession
                
[profile B]
credential_source=Ec2InstanceMetadata

Il profilo A utilizzerà le credenziali dell'istanza Amazon EC2 per assumere il ruolo specificato e rinnoverà automaticamente le credenziali.

web_identity_token_file- impostazione dei file condivisi AWS config

AWS_WEB_IDENTITY_TOKEN_FILE- variabile d'ambiente

aws.webIdentityTokenFile- Proprietà del sistema JVM: solo Java/Kotlin

Specifica il percorso di un file che contiene un token di accesso di un provider OAuth 2.0 supportato o di un provider di identità OpenID Connect ID.

Questa impostazione consente l'autenticazione utilizzando provider di federazione delle identità Web, come Google, Facebook e Amazon , tra molti altri. L'SDK o lo strumento per sviluppatori carica il contenuto di questo file e lo passa come WebIdentityToken argomento quando chiama l'AssumeRoleWithWebIdentityoperazione per tuo conto.

Valore predefinito: Nessuno.

Valori validi: questo valore deve essere un percorso e un nome di file. Il file deve contenere un token di accesso OAuth 2.0 o un token OpenID Connect fornito da un provider di identità. I percorsi relativi vengono trattati come relativi alla directory di lavoro del processo.