AWS Switching to an IAM role (AWS CLI)

Grant_Allen發表於2021-02-28

一，引言

　　今天額外分享一篇 AWS 的技術內容，需要在 EC2 切換到跨賬號 IAM 角色（AWS CLI）。假設我們使用兩個 AWS 賬戶，A賬號，B賬號。我們希望允許 A 賬號用於 "iam-role-iam-readonly" 的 AWS IAM Role 的只讀許可權。而 EC2 例項卻位於 B 賬戶中。該例項包含 "iam-role-ec2" 例項配置檔案角色，我們希望 “iam-role-ec2” 允許跨賬戶 A 中的 IAM Role 的只讀許可權。所有需要設定 “iam-role-ec2” 的切換角色許可權，以及設定 “iam-role-iam-readonly” 的授權實體。接下啦，就正式開始我們今天的內容。

二，正文

1，新增賬戶A “iam-role-iam-readonly”的角色許可權策略

選擇 “Access managemrnt =》Roles”，點選 “Create” 建立角色

選擇授信實體，我們切換到到 “Another AWS account”(Belonging to you or 3rd party)

輸入可以使用此賬號的ID，也就是我的值的 B 賬號的ID，點選 “Next：Permissions”

 許可權選擇 “IAMReadOnlyAccess”，並且選中所需要的許可權，點選 “Next：Tags”

Add tags 是可選擇的，我們不需要新增任何操作，直接點選 “Next：Review”

Review頁面，我們輸入相關引數

Role name：“iam-role-iam-readonly”

點選 “Create role”

建立成功後，我們可以檢視到當前 “iam-role-iam-readonly” 的相關資訊

2，新增賬戶B “iam-role-iam-ec2” 的角色許可權策略

首先我們需要新增對 A 賬號上的 “iam-role-iam-readonly” 的角色切線許可權

選擇 “Acces management=》Policy"，並點選 “Create policy” 建立新的策略

切換到JSON，新增對應的切換 A 賬號的 “iam-role-iam-readonly” 的許可權

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowIPToAssumeCrossAccountRole",
            "Effect": "Allow",
            "Action": "sts:AssumeRole",
            "Resource": "arn:aws:iam::xxxxxxxxxxxx:role/iam-role-iam-readonly"
        }
    ]
}

點選 “Next：Tags”

輸入Rolicy Name ：“iam-pol-sts-iam-readonly”，點選“Create Policy”

建立成功後，我們在策略中找到建立好的Policy “iam-pol-sts-iam-readonly”

接下來，我們需要建立 B 賬號上 EC2 使用的角色 “iam-role-ec2”，並且給當前 “iam-role-ec2” 新增剛剛建立好的切換角色的許可權

選擇相關引數

Select type of trusted entity：“AWS service”

Choose a use case：“EC2”

點選 “Next：Permissions”

選擇附加 “iam-pol-sts-iam-readonly”，點選 “Next：Tags”

繼續跳過 Add tags 頁面

在 Review 頁面，輸入

Role name：“iam-role-ec2“ 後，點選 ”Create role“

”iam-role-ec2“ 建立成功後，可以點選檢視詳細資訊

3，修改 A 賬號角色的受信實體

先複製 B 賬號 ”iam-role-ec2“ 的 Role ARN

回到 A 賬號下點選 ” “ 編輯 ”iam-role-iam-readonly“ 的 Trust relationships

將剛剛複製好的 B 賬號上 ”iam-role-ec2“ 角色的 arn 替換到下圖圈中的位置

 

4，登陸 B 賬號上的EC2 虛機，通過切換角色，使用AWS CLI 獲取 IAM RoleId

建立EC2 虛擬機器，並且賦予 "iam-role-ec2" 角色 

接下來 SSH 遠端登入到這臺 EC2 上嘗試執行AWS CLI 命令

aws iam get-role --role-name iam-role-iam-readonly

 此時會提示，當前缺少安全Token，也就是我們並沒有給當前賬號配置 ak，sk

接下來，我們在當前 "~\.aws\config" 的檔案中配置新的角色配置，並且該校色必須具有 role_arn 中指定的校色的 sts:AssumeRole 許可權

開啟 aws 配置檔案

vim ~/.aws/config

新增新的角色配置

[profile iam-role-iam-readonly]
role_arn = arn:aws:iam::xxxxxxxxxxxx:role/iam-role-iam-readonly
credential_source = Ec2InstanceMetadata

儲存並退出，再次執行aws cli 命令。這次我們在命名中加上 --profile 這個引數

aws iam get-role --role-name iam-role-iam-readonly --profile iam-role-iam-readonly

Bingo!!!，成功， 成功的執行EC2示例配置檔案切換到另外的賬號中的角色。

如果我們要回復 B 賬號的中 EC2 原來的例項配置檔案許可權，可以不用在 aws cli 命令的結尾加 --profile 這個引數了。

*★,°*:.☆(￣▽￣)/$:*.°★* 。?‍??‍??‍??‍?

三，結尾

 　　今天我們額外的講解了以下AWS 的相關知識，算是aws知識的一個開篇講解。很高興為大家同時帶來Azure，AWS 兩個雲平臺的相關知識。本文所分享的內容也存在著很多我自己的一些理解，有理解不到位的，還包含，並且指出不足之處！！！！！*★,°*:.☆(￣▽￣)/$:*.°★* 。

參考資料：https://docs.aws.amazon.com/cli/latest/userguide/cli-configure-role.html

作者：Allen 

版權：轉載請在文章明顯位置註明作者及出處。如發現錯誤，歡迎批評指正。

作者：Allen 版權：轉載請在文章明顯位置註明作者及出處。如發現錯誤，歡迎批評指正。

相關文章