認証情報をローテーションして AWS CodeCommit リポジトリに接続する

CodeCommit にアクセスするロールを引き受ける場合は、そのロールを引き受けるのに必要な情報を含む名前付きプロファイルを設定します。例えば、Amazon Web Services アカウント 111111111111「」で CodeCommitAccess という名前のロールを引き受ける場合、他の AWS リソースを操作するときに使用するデフォルトのプロファイルと、そのロールを引き受けるときに使用する名前付きプロファイルを設定できます。次のコマンドは、CodeCommitAccess という名前のロールを引き受ける、名前付きプロファイルの CodeAccess を作成します。Maria_Garcia というユーザー名はセッションに関連付けられ、デフォルトのプロファイルはその AWS 認証情報のソースとして設定されます。

aws configure set role_arn arn:aws:iam::111111111111:role/CodeCommitAccess --profile CodeAccess
aws configure set source_profile default --profile CodeAccess
aws configure set role_session_name "Maria_Garcia" --profile CodeAccess

変更を確認する場合は、~/.aws/config ファイル (Linux の場合) または %UserProfile%.aws\configファイル (Windows の場合) を手動で表示または編集し、名前付きプロファイルの情報を確認します。たとえば、ファイルは次のようになります。

[default]
region = us-east-1
output = json

[profile CodeAccess]
source_profile = default
role_session_name = Maria_Garcia
role_arn = arn:aws:iam::111111111111:role/CodeCommitAccess

名前付きプロファイルを設定したら、名前付きプロファイルを使用して git-remote-codecommit ユーティリティで CodeCommit リポジトリのクローンを作成できます。例えば、MyDemoRepo という名前のリポジトリのクローンを作成するには、次のようにします。

git clone codecommit://CodeAccess@MyDemoRepo

ウェブ ID フェデレーションと OpenID Connect (OIDC) を使用している場合は、ユーザーに代わって AWS Security Token Service （AWS STS) AssumeRoleWithWebIdentity API コールを行い、一時的な認証情報を更新する名前付きプロファイルを設定します。aws configure set コマンドを使用するか、 ~/.aws/credentials ファイル (Linux の場合) または %UserProfile%.aws\credentials ファイル (Windows の場合) を手動で編集して、必要な設定値を持つ AWS CLI 名前付きプロファイルを追加します。例えば、CodeCommitAccess ロールを引き受け、ウェブ ID トークンファイル ~/my-credentials/my-token-file を使用するプロファイルを作成するには、次のようにします。

[CodeCommitWebIdentity]
role_arn = arn:aws:iam::111111111111:role/CodeCommitAccess
web_identity_token_file=~/my-credentials/my-token-file
role_session_name = Maria_Garcia