Paramètres des fichiers de configuration et d'informations d'identification - AWS Command Line Interface
Format des fichiers de configuration et d'identificationOù les paramètres de configuration sont-ils stockés ?Utilisation de profils nommésDéfinir et afficher les paramètres de configuration à l'aide de commandesExemples de commandes de définition d'une nouvelle configuration et d'informations d'identificationParamètres de fichier config pris en charge

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Paramètres des fichiers de configuration et d'informations d'identification

Vous pouvez enregistrer vos paramètres de configuration utilisés fréquemment et vos informations d'identification dans les fichiers qui sont gérés par l' AWS CLI.

Les fichiers sont divisés en profiles. Par défaut, AWS CLI utilise les paramètres du profil nommédefault. Pour utiliser d'autres paramètres, vous pouvez créer d'autres profils et y faire référence.

Vous pouvez également remplacer un paramètre spécifique en définissant l'une des variables d'environnement prises en charge ou un paramètre de ligne de commande. Pour plus d'informations sur la priorité des paramètres de configuration, veuillez consulter Configurez le AWS CLI.

Note

Pour plus d'informations sur la configuration de vos informations d'identification, consultezAuthentification et identifiants d'accès.

Format des fichiers de configuration et d'identification

Les credentials fichiers config et sont organisés en sections. Les sections incluent les profils, les sessions SSO et les services. Une section est un ensemble nommé de paramètres qui continue jusqu'à ce qu'une autre ligne de définition de section soit rencontrée. Plusieurs profils et sections peuvent être enregistrés dans les credentials fichiers config et.

Ces fichiers sont des fichiers en texte brut qui utilisent le format suivant :

  • Les noms des sections sont placés entre crochets [] tels que [default][profile user1], et[sso-session].

  • Toutes les entrées d'une section prennent la forme générale desetting_name=value.

  • Les lignes peuvent être commentées en commençant par un caractère dièse (#).

Les credentials fichiers config et contiennent les types de sections suivants :

Type de section : profile

Les AWS CLI boutiques

Selon le fichier, les noms des sections de profil utilisent le format suivant :

  • Fichier de configuration : [default] [profile user1]

  • Fichier d'informations d'identification : [default] [user1]

    N’utilisez pas le mot profile lors de la création d’une entrée dans le fichier credentials.

Chaque profil peut spécifier des informations d'identification différentes et peut également spécifier des AWS régions et des formats de sortie différents. Lorsque vous nommez le profil dans un config fichier, incluez le préfixe profile « », mais ne l'incluez pas dans le credentials fichier.

Les exemples suivants montrent un config fichier credentials et avec deux profils, une région et une sortie spécifiés. Le premier [par défaut] est utilisé lorsque vous exécutez une AWS CLI commande sans qu'aucun profil ne soit spécifié. Le second est utilisé lorsque vous exécutez une AWS CLI commande avec le --profile user1 paramètre.

IAM Identity Center (SSO)

Cet exemple est pour AWS IAM Identity Center. Pour de plus amples informations, veuillez consulter Configurez le AWS CLI pour utiliser les informations d'identification du fournisseur de jetons IAM Identity Center avec actualisation automatique de l'authentification.

Fichier d'informations d'identification

Le credentials fichier n'est pas utilisé pour cette méthode d'authentification.

Fichier de configuration

[default]
sso_session = my-sso
sso_account_id = 111122223333
sso_role_name = readOnly
region = us-west-2
output = text

[profile user1]
sso_session = my-sso
sso_account_id = 444455556666
sso_role_name = readOnly
region = us-east-1
output = json

[sso-session my-sso]
sso_region = us-east-1
sso_start_url = https://my-sso-portal.awsapps.com/start
sso_registration_scopes = sso:account:access
IAM Identity Center (Legacy SSO)

Cet exemple concerne l'ancienne méthode de AWS IAM Identity Center. Pour de plus amples informations, veuillez consulter Ancienne configuration non actualisable pour AWS IAM Identity Center.

Fichier d'informations d'identification

Le credentials fichier n'est pas utilisé pour cette méthode d'authentification.

Fichier de configuration

[default]
sso_start_url = https://my-sso-portal.awsapps.com/start
sso_region = us-east-1
sso_account_id = 111122223333
sso_role_name = readOnly
region = us-west-2
output = text

[profile user1]
sso_start_url = https://my-sso-portal.awsapps.com/start
sso_region = us-east-1
sso_account_id = 444455556666
sso_role_name = readOnly
region = us-east-1
output = json
Short-term credentials

Cet exemple concerne les informations d'identification à court terme de AWS Identity and Access Management. Pour de plus amples informations, veuillez consulter Authentifiez-vous avec des identifiants à court terme.

Fichier d'informations d'identification

[default]
aws_access_key_id=ASIAIOSFODNN7EXAMPLE
aws_secret_access_key=wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY
aws_session_token = IQoJb3JpZ2luX2IQoJb3JpZ2luX2IQoJb3JpZ2luX2IQoJb3JpZ2luX2IQoJb3JpZVERYLONGSTRINGEXAMPLE

[user1]
aws_access_key_id=ASIAI44QH8DHBEXAMPLE
aws_secret_access_key=je7MtGbClwBF/2Zp9Utk/h3yCo8nvbEXAMPLEKEY
aws_session_token = fcZib3JpZ2luX2IQoJb3JpZ2luX2IQoJb3JpZ2luX2IQoJb3JpZ2luX2IQoJb3JpZVERYLONGSTRINGEXAMPLE

Fichier de configuration

[default]
region=us-west-2
output=json

[profile user1]
region=us-east-1
output=text
IAM role

Cet exemple permet d'assumer un rôle IAM. Les profils qui utilisent des rôles IAM extraient les informations d'identification d'un autre profil, puis appliquent les autorisations des rôles IAM. Dans les exemples suivants, default est le profil source des informations d'identification et user1 emprunte les mêmes informations d'identification puis assume un nouveau rôle. Pour de plus amples informations, veuillez consulter Utilisez un rôle IAM dans le AWS CLI.

Fichier d'informations d'identification

Le credentials fichier dépend de l'authentification utilisée par votre profil source. Dans l'exemple suivant, le profil source utilise des informations d'identification à court terme.

[default]
aws_access_key_id=ASIAIOSFODNN7EXAMPLE
aws_secret_access_key=wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY
aws_session_token = IQoJb3JpZ2luX2IQoJb3JpZ2luX2IQoJb3JpZ2luX2IQoJb3JpZ2luX2IQoJb3JpZVERYLONGSTRINGEXAMPLE

Fichier de configuration

[default]
region=us-west-2
output=json

[profile user1]
role_arn=arn:aws:iam::777788889999:role/user1role
source_profile=default
role_session_name=session_user1
region=us-east-1
output=text
Amazon EC2 instance metadata credentials

Cet exemple concerne les informations d'identification obtenues à partir des métadonnées de l'instance Amazon EC2 d'hébergement. Pour de plus amples informations, veuillez consulter Utiliser les informations d'identification pour les métadonnées de l'instance Amazon EC2.

Fichier d'informations d'identification

Le credentials fichier n'est pas utilisé pour cette méthode d'authentification.

Fichier de configuration

[default]
role_arn=arn:aws:iam::123456789012:role/defaultrole
credential_source=Ec2InstanceMetadata
region=us-west-2
output=json

[profile user1]
role_arn=arn:aws:iam::777788889999:role/user1role
credential_source=Ec2InstanceMetadata
region=us-east-1
output=text
Long-term credentials
Avertissement

Afin d’éviter les risques de sécurité, n'employez pas les utilisateurs IAM pour l'authentification lorsque vous développez des logiciels spécialisés ou lorsque vous travaillez avec des données réelles. Préférez la fédération avec un fournisseur d'identité tel que AWS IAM Identity Center.

Cet exemple concerne les informations d'identification à long terme de AWS Identity and Access Management. Pour de plus amples informations, veuillez consulter Authentifiez-vous avec les informations d'identification de l'utilisateur IAM.

Fichier d'informations d'identification

[default]
aws_access_key_id=AKIAIOSFODNN7EXAMPLE
aws_secret_access_key=wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY

[user1]
aws_access_key_id=AKIAI44QH8DHBEXAMPLE
aws_secret_access_key=je7MtGbClwBF/2Zp9Utk/h3yCo8nvbEXAMPLEKEY

Fichier de configuration

[default]
region=us-west-2
output=json

[profile user1]
region=us-east-1
output=text

Pour plus d'informations et des méthodes d'autorisation et d'identification supplémentaires, voirAuthentifiez-vous avec les informations d'identification de l'utilisateur IAM.

Type de section : sso-session

La sso-session section du config fichier est utilisée pour regrouper les variables de configuration permettant d'acquérir des jetons d'accès SSO, qui peuvent ensuite être utilisés pour acquérir des AWS informations d'identification. Les paramètres suivants sont utilisés :

Vous définissez une sso-session section et vous l'associez à un profil. sso_regionet sso_start_url doit être défini dans la sso-session section. Généralement, sso_account_id et sso_role_name doit être défini dans la profile section afin que le SDK puisse demander des informations d'identification SSO.

L'exemple suivant configure le SDK pour demander des informations d'identification SSO et prend en charge l'actualisation automatique des jetons : 

[profile dev]
sso_session = my-sso
sso_account_id = 111122223333
sso_role_name = SampleRole

[sso-session my-sso]
sso_region = us-east-1
sso_start_url = https://my-sso-portal.awsapps.com/start

Cela permet également de réutiliser les sso-session configurations sur plusieurs profils : 

[profile dev]
sso_session = my-sso
sso_account_id = 111122223333
sso_role_name = SampleRole

[profile prod]
sso_session = my-sso
sso_account_id = 111122223333
sso_role_name = SampleRole2

[sso-session my-sso]
sso_region = us-east-1
sso_start_url = https://my-sso-portal.awsapps.com/start

Cependant, ils sso_account_id sso_role_name ne sont pas obligatoires pour tous les scénarios de configuration de jetons SSO. Si votre application utilise uniquement des AWS services qui prennent en charge l'authentification par porteur, les informations d' AWS identification traditionnelles ne sont pas nécessaires. L'authentification du porteur est un schéma d'authentification HTTP qui utilise des jetons de sécurité appelés jetons porteurs. Dans ce scénario, sso_account_id et sso_role_name ne sont pas obligatoires. Consultez le guide individuel de votre AWS service pour déterminer s'il prend en charge l'autorisation par jeton au porteur.

De plus, les étendues d'enregistrement peuvent être configurées dans le cadre d'unsso-session. Scope est un mécanisme d'OAuth 2.0 permettant de limiter l'accès d'une application au compte d'un utilisateur. Une application peut demander une ou plusieurs étendues, et le jeton d'accès délivré à l'application sera limité aux étendues accordées. Ces étendues définissent les autorisations demandées pour être autorisées pour le client OIDC enregistré et les jetons d'accès récupérés par le client. L'exemple suivant fournit un accès sso_registration_scopes pour répertorier les comptes/rôles : 

[sso-session my-sso]
sso_region = us-east-1
sso_start_url = https://my-sso-portal.awsapps.com/start
sso_registration_scopes = sso:account:access

Le jeton d'authentification est mis en cache sur le disque sous le ~/.aws/sso/cache répertoire avec un nom de fichier basé sur le nom de session.

Pour plus d'informations sur ce type de configuration, consultezConfigurez le AWS CLI pour utiliser les informations d'identification du fournisseur de jetons IAM Identity Center avec actualisation automatique de l'authentification.

Type de section : services

La services section est un groupe de paramètres qui configure les points de terminaison personnalisés pour les Service AWS demandes. Un profil est ensuite lié à une services section. 

[profile dev]
services = my-services

La services section est séparée en sous-sections par des <SERVICE> = lignes, où se <SERVICE> trouve la clé d' Service AWS identification. L' Service AWS identifiant est basé sur le modèle d'API serviceId en remplaçant tous les espaces par des traits de soulignement et en minuscules toutes les lettres. Pour obtenir la liste de toutes les clés d'identification de service à utiliser dans services cette section, consultezUtilisez les points de terminaison dans AWS CLI. La clé d'identification du service est suivie de paramètres imbriqués, chacun sur sa propre ligne et indentés de deux espaces.

L'exemple suivant configure le point de terminaison à utiliser pour les demandes adressées au Amazon DynamoDB service dans la section my-services utilisée dans le profil de développement. Toutes les lignes indentées qui suivent immédiatement sont incluses dans cette sous-section et s'appliquent à ce service. 

[profile dev]
services = my-services

[services my-services]
dynamodb = 
  endpoint_url = http://localhost:8000

Pour plus d'informations sur les points de terminaison spécifiques à un service, consultez. Utilisez les points de terminaison dans AWS CLI

Si votre profil possède des informations d'identification basées sur les rôles configurées via un source_profile paramètre pour la fonctionnalité IAM d'assumer un rôle, le SDK utilise uniquement les configurations de service pour le profil spécifié. Il n'utilise pas de profils auxquels des rôles sont liés. Par exemple, en utilisant le config fichier partagé suivant : 

[profile A]
credential_source = Ec2InstanceMetadata
endpoint_url = https://profile-a-endpoint.aws/

[profile B]
source_profile = A
role_arn = arn:aws:iam::123456789012:role/roleB
services = profileB

[services profileB]
ec2 = 
  endpoint_url = https://profile-b-ec2-endpoint.aws

Si vous utilisez le profil B et que vous appelez votre code à Amazon EC2, le point de terminaison est résolu comme. https://profile-b-ec2-endpoint.aws Si votre code envoie une demande à un autre service, la résolution du point de terminaison ne suivra aucune logique personnalisée. Le point de terminaison ne correspond pas au point de terminaison global défini dans le profilA. Pour qu'un point de terminaison global prenne effet pour B le profil, vous devez le définir endpoint_url directement dans le profilB.

Où les paramètres de configuration sont-ils stockés ?

Le AWS CLI stocke les informations d'identification sensibles que vous spécifiez aws configure dans un fichier local nommécredentials, dans un dossier nommé .aws dans votre répertoire personnel. Les autres options de configuration que vous spécifiez avec aws configure sont stockées dans un fichier local nommé config, également stocké dans le dossier .aws du répertoire de base.

Stockage des informations d'identification dans le fichier de configuration

Vous pouvez conserver tous les paramètres de votre profil dans un seul fichier, car les informations d'identification AWS CLI peuvent être lues dans le config fichier. S'il existe des informations d'identification dans les deux fichiers pour un profil partageant le même nom, les clés du fichier d'informations d'identification ont priorité. Nous vous suggérons de conserver les informations d'identification dans les credentials fichiers. Ces fichiers sont également utilisés par les divers kits de développement logiciel (SDK). Si vous utilisez l'un des SDK en plus du AWS CLI, vérifiez si les informations d'identification doivent être stockées dans leur propre fichier.

L'emplacement du répertoire de base varie selon le système d'exploitation, mais il est référencé à l'aide de variables d'environnement %UserProfile% sous Windows et $HOME ou ~ (tilde) sur les systèmes Unix. Vous pouvez spécifier un emplacement autre que celui par défaut pour les fichiers en définissant les variables d'AWS_SHARED_CREDENTIALS_FILEenvironnement AWS_CONFIG_FILE et sur un autre chemin local. Consultez Variables d'environnement pour configurer le AWS CLI pour plus de détails.

Lorsque vous utilisez un profil partagé qui spécifie un rôle AWS Identity and Access Management (IAM), l'opération AWS CLI appelle l' AWS STS AssumeRoleopération pour récupérer des informations d'identification temporaires. Ces informations d'identification sont ensuite stockées (dans ~/.aws/cli/cache). Les AWS CLI commandes suivantes utilisent les informations d'identification temporaires mises en cache jusqu'à leur expiration, et à ce stade, les informations d'identification AWS CLI sont automatiquement actualisées.

Utilisation de profils nommés

Si aucun profil n'est défini explicitement, le default profil est utilisé.

Pour utiliser un profil nommé, ajoutez l'option --profile profile-name à votre commande. L'exemple suivant répertorie toutes vos instances Amazon EC2 à l'aide des informations d'identification et des paramètres définis dans le user1 profil.

$ aws ec2 describe-instances --profile user1

Pour utiliser un profil nommé pour plusieurs commandes, vous pouvez éviter de spécifier le profil dans chaque commande en définissant la variable d'AWS_PROFILEenvironnement comme profil par défaut. Vous pouvez annuler ce paramètre en utilisant le --profile paramètre.

Linux or macOS
$ export AWS_PROFILE=user1
Windows
C:\> setx AWS_PROFILE user1

L'utilisation de set pour définir une variable d'environnement modifie la valeur utilisée jusqu'à la fin de la session d'invite de commande en cours, ou jusqu'à ce que vous définissiez la variable sur une autre valeur.

L’utilisation de setx pour définir une variable d'environnement modifie la valeur dans tous les shells de commande que vous créez après l'exécution de la commande. Cela n’affecte aucun shell de commande qui est déjà en cours d'exécution au moment où vous exécutez la commande. Fermez et redémarrez le shell de commande pour voir les effets de la modification.

La définition de la variable d'environnement permet de modifier le profil par défaut jusqu'à la fin de votre session shell, ou jusqu'à ce que vous définissiez la variable sur une autre valeur. Vous pouvez rendre des variables persistantes dans de futures sessions en les plaçant dans votre script de démarrage de shell. Pour de plus amples informations, veuillez consulter Variables d'environnement pour configurer le AWS CLI.

Définir et afficher les paramètres de configuration à l'aide de commandes

Il existe plusieurs manières d'afficher et de définir vos paramètres de configuration à l'aide de commandes.

aws configure

Exécutez cette commande pour définir et afficher rapidement vos informations d'identification, votre région et votre format de sortie. L'exemple suivant montre des exemples de valeurs.

$ aws configure
AWS Access Key ID [None]: AKIAIOSFODNN7EXAMPLE
AWS Secret Access Key [None]: wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY
Default region name [None]: us-west-2
Default output format [None]: json
aws configure set

Vous pouvez définir les informations d'identification ou les paramètres de configuration à l'aide de la commande aws configure set. Spécifiez le profil que vous souhaitez consulter ou modifier avec le paramètre --profile.

Par exemple, la commande suivante définit le paramètre region dans le profil nommé integ.

$ aws configure set region us-west-2 --profile integ

Pour supprimer un paramètre, utilisez une chaîne vide comme valeur ou supprimez manuellement le paramètre dans vos fichiers config et credentials dans un éditeur de texte.

$ aws configure set cli_pager "" --profile integ
aws configure get

Vous pouvez récupérer les informations d'identification ou les paramètres de configuration que vous avez définis via aws configure get. Spécifiez le profil que vous souhaitez consulter ou modifier avec le paramètre --profile.

Par exemple, la commande suivante récupère le paramètre region dans le profil nommé integ.

$ aws configure get region --profile integ
us-west-2

Un résultat vide indique que le paramètre n'est pas explicitement défini et utilise la valeur par défaut.

aws configure import

Importez CSV les informations d'identification générées depuis la console Web IAM. Cela ne concerne pas les informations d'identification générées par IAM Identity Center ; les clients qui utilisent IAM Identity Center doivent utiliser aws configure sso. Un fichier CSV est importé avec le nom du profil correspondant au nom d'utilisateur. Le fichier CSV doit contenir les en-têtes suivants.

  • Nom utilisateur

  • ID de clé d'accès

  • Clé d'accès secrète

Note

Lors de la création initiale de la paire de clés, une fois que vous avez fermé la boîte de dialogue Télécharger le fichier .csv, vous ne pouvez plus accéder à votre clé d'accès secrète après avoir fermé la boîte de dialogue. Si vous avez besoin d'un .csv fichier, vous devez en créer un vous-même avec les en-têtes requis et les informations que vous avez enregistrées sur les paires de clés. Si vous n'avez pas accès aux informations relatives à votre paire de clés, vous devez créer une nouvelle paire de clés.

$ aws configure import --csv file://credentials.csv
aws configure list

Pour répertorier les données de configuration, utilisez la aws configure list commande. Cette commande répertorie le profil, la clé d'accès, la clé secrète et les informations de configuration de région utilisées pour le profil spécifié. Pour chaque élément de configuration, il indique la valeur, l'endroit où la valeur de configuration a été récupérée et le nom de la variable de configuration.

Par exemple, si vous fournissez la variable d'environnement Région AWS in an, cette commande indique le nom de la région que vous avez configurée, indique que cette valeur provient d'une variable d'environnement et le nom de la variable d'environnement.

Pour les méthodes d'identification temporaires telles que les rôles et IAM Identity Center, cette commande affiche la clé d'accès temporairement mise en cache et la clé d'accès secrète est affichée.

$ aws configure list
      Name                    Value             Type    Location
      ----                    -----             ----    --------
   profile                <not set>             None    None
access_key     ****************ABCD  shared-credentials-file    
secret_key     ****************ABCD  shared-credentials-file    
    region                us-west-2             env    AWS_DEFAULT_REGION
aws configure list-profiles

Pour afficher la liste de tous les noms de profil, utilisez la commande aws configure list-profiles.

$ aws configure list-profiles
default
test
aws configure sso

Exécutez cette commande pour définir et afficher rapidement vos AWS IAM Identity Center informations d'identification, votre région et votre format de sortie. L'exemple suivant montre des exemples de valeurs.

$ aws configure sso
SSO session name (Recommended): my-sso
SSO start URL [None]: https://my-sso-portal.awsapps.com/start
SSO region [None]: us-east-1
SSO registration scopes [None]: sso:account:access
aws configure sso-session

Exécutez cette commande pour définir et afficher rapidement vos AWS IAM Identity Center informations d'identification, votre région et votre format de sortie dans la section sso-session des fichiers credentials etconfig. L'exemple suivant montre des exemples de valeurs.

$ aws configure sso-session
SSO session name: my-sso
SSO start URL [None]: https://my-sso-portal.awsapps.com/start
SSO region [None]: us-east-1
SSO registration scopes [None]: sso:account:access

Exemples de commandes de définition d'une nouvelle configuration et d'informations d'identification

Les exemples suivants montrent comment configurer un profil par défaut avec des informations d'identification, une région et une sortie spécifiées pour différentes méthodes d'authentification.

IAM Identity Center (SSO)

Cet exemple concerne AWS IAM Identity Center l'utilisation de l'aws configure ssoassistant. Pour de plus amples informations, veuillez consulter Configurez le AWS CLI pour utiliser les informations d'identification du fournisseur de jetons IAM Identity Center avec actualisation automatique de l'authentification.

$ aws configure sso
SSO session name (Recommended): my-sso
SSO start URL [None]: https://my-sso-portal.awsapps.com/start
SSO region [None]:us-east-1

Attempting to automatically open the SSO authorization page in your default browser.

There are 2 AWS accounts available to you.
> DeveloperAccount, developer-account-admin@example.com (111122223333) 
  ProductionAccount, production-account-admin@example.com (444455556666)

Using the account ID 111122223333

There are 2 roles available to you.
> ReadOnly
  FullAccess

Using the role name "ReadOnly"

CLI default client Region [None]: us-west-2
CLI default output format [None]: json
CLI profile name [123456789011_ReadOnly]: user1
IAM Identity Center (Legacy SSO)

Cet exemple concerne l'ancienne méthode d' AWS IAM Identity Center utilisation de l'aws configure ssoassistant. Pour utiliser l'ancienne authentification unique, laissez le nom de session vide. Pour de plus amples informations, veuillez consulter Ancienne configuration non actualisable pour AWS IAM Identity Center.

$ aws configure sso
SSO session name (Recommended):
SSO start URL [None]: https://my-sso-portal.awsapps.com/start
SSO region [None]:us-east-1

SSO authorization page has automatically been opened in your default browser.
Follow the instructions in the browser to complete this authorization request.

There are 2 AWS accounts available to you.
> DeveloperAccount, developer-account-admin@example.com (111122223333) 
  ProductionAccount, production-account-admin@example.com (444455556666)

Using the account ID 111122223333

There are 2 roles available to you.
> ReadOnly
  FullAccess

Using the role name "ReadOnly"

CLI default client Region [None]: us-west-2
CLI default output format [None]: json
CLI profile name [123456789011_ReadOnly]: user1
Short-term credentials

Cet exemple concerne les informations d'identification à court terme de AWS Identity and Access Management. L'assistant de configuration aws est utilisé pour définir les valeurs initiales, puis la aws configure set commande attribue la dernière valeur requise. Pour de plus amples informations, veuillez consulter Authentifiez-vous avec des identifiants à court terme.

$ aws configure
AWS Access Key ID [None]: AKIAIOSFODNN7EXAMPLE
AWS Secret Access Key [None]: wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY
Default region name [None]: us-west-2
Default output format [None]: json
$ aws configure set aws_session_token fcZib3JpZ2luX2IQoJb3JpZ2luX2IQoJb3JpZ2luX2IQoJb3JpZ2luX2IQoJb3JpZVERYLONGSTRINGEXAMPLE
IAM role

Cet exemple permet d'assumer un rôle IAM. Les profils qui utilisent des rôles IAM extraient les informations d'identification d'un autre profil, puis appliquent les autorisations des rôles IAM. Dans les exemples suivants, default est le profil source des informations d'identification et user1 emprunte les mêmes informations d'identification puis assume un nouveau rôle. Il n'y a pas d'assistant pour ce processus, donc chaque valeur est définie à l'aide de la aws configure set commande. Pour de plus amples informations, veuillez consulter Utilisez un rôle IAM dans le AWS CLI.

$ aws configure set role_arn arn:aws:iam::123456789012:role/defaultrole
$ aws configure set source_profile default
$ aws configure set role_session_name session_user1
$ aws configure set region us-west-2
$ aws configure set output json
Amazon EC2 instance metadata credentials

Cet exemple concerne les informations d'identification obtenues à partir des métadonnées de l'instance Amazon EC2 d'hébergement. Il n'y a pas d'assistant pour ce processus, donc chaque valeur est définie à l'aide de la aws configure set commande. Pour de plus amples informations, veuillez consulter Utiliser les informations d'identification pour les métadonnées de l'instance Amazon EC2.

$ aws configure set role_arn arn:aws:iam::123456789012:role/defaultrole
$ aws configure set credential_source Ec2InstanceMetadata
$ aws configure set region us-west-2
$ aws configure set output json
Long-term credentials
Avertissement

Afin d’éviter les risques de sécurité, n'employez pas les utilisateurs IAM pour l'authentification lorsque vous développez des logiciels spécialisés ou lorsque vous travaillez avec des données réelles. Préférez la fédération avec un fournisseur d'identité tel que AWS IAM Identity Center.

Cet exemple concerne les informations d'identification à long terme de AWS Identity and Access Management. Pour de plus amples informations, veuillez consulter Authentifiez-vous avec les informations d'identification de l'utilisateur IAM.

$ aws configure
AWS Access Key ID [None]: AKIAIOSFODNN7EXAMPLE
AWS Secret Access Key [None]: wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY
Default region name [None]: us-west-2
Default output format [None]: json

Paramètres de fichier config pris en charge

Les paramètres suivants sont pris en charge dans le fichier config. Les valeurs reprises dans le profil spécifié (ou par défaut) sont utilisées, sauf si elles sont remplacées par la présence d'une variable d'environnement de même nom ou une option de ligne de commande de même nom. Pour plus d'informations sur les paramètres de commande qui sont prédéfinis, veuillez consulter Configurez le AWS CLI

Global Settings (Paramètres globaux)

aws_access_key_id

Spécifie la clé AWS d'accès utilisée dans le cadre des informations d'identification pour authentifier la demande de commande. Bien qu'elle puisse être stockée dans le fichier config, nous vous recommandons de la stocker dans le fichier credentials.

Peut être remplacée par la variable d'environnement AWS_ACCESS_KEY_ID. Vous ne pouvez pas spécifier l'ID de clé d'accès sous forme d'option de ligne de commande.

aws_access_key_id = AKIAIOSFODNN7EXAMPLE
aws_secret_access_key

Spécifie la clé AWS secrète utilisée dans le cadre des informations d'identification pour authentifier la demande de commande. Bien qu'elle puisse être stockée dans le fichier config, nous vous recommandons de la stocker dans le fichier credentials.

Peut être remplacée par la variable d'environnement AWS_SECRET_ACCESS_KEY. Vous ne pouvez pas spécifier la clé d'accès secrète sous forme d'option de ligne de commande.

aws_secret_access_key = wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY
aws_session_token

Spécifie un jeton de AWS session. Un jeton de session n'est nécessaire que si vous spécifiez manuellement des informations d'identification de sécurité temporaires. Bien qu'elle puisse être stockée dans le fichier config, nous vous recommandons de la stocker dans le fichier credentials.

Peut être remplacée par la variable d'environnement AWS_SESSION_TOKEN. Vous ne pouvez pas le jeton de session sous forme d'option de ligne de commande.

aws_session_token = AQoEXAMPLEH4aoAH0gNCAPyJxz4BlCFFxWNE1OPTgk5TthT+FvwqnKwRcOIfrRh3c/LTo6UDdyJwOOvEVPvLXCrrrUtdnniCEXAMPLE/IvU1dYUg2RVAJBanLiHb4IgRmpRV3zrkuWJOgQs8IZZaIv2BXIa2R4Olgk
ca_bundle

Spécifie un ensemble de certificat CA (un fichier avec l'extension .pem) qui est utilisé pour vérifier les certificats SSL.

Peut être remplacé par la variable d'environnement AWS_CA_BUNDLE ou l'option de ligne de commande --ca-bundle. 

ca_bundle = dev/apps/ca-certs/cabundle-2019mar05.pem
cli_auto_prompt

Active l'invite automatique pour la AWS CLI version 2. Deux paramètres peuvent être utilisés :

  • onutilise le mode d'invite automatique complet chaque fois que vous essayez d'exécuter une aws commande. Cela inclut d'appuyer sur ENTER après une commande complète ou une commande incomplète.

    cli_auto_prompt = on

  • on-partialutilise le mode d'invite automatique partiel. Si une commande est incomplète ou ne peut pas être exécutée en raison d'erreurs de validation côté client, l'invite automatique est utilisée. Ce mode est particulièrement utile si vous avez des scripts ou des runbooks préexistants, ou si vous souhaitez uniquement être automatiquement invité à saisir des commandes que vous ne connaissez pas au lieu d'être invité à chaque commande.

    cli_auto_prompt = on-partial

Vous pouvez remplacer ce paramètre en utilisant la variable d'aws_cli_auto_promptenvironnement ou les paramètres de ligne de --no-cli-auto-prompt commande --cli-auto-prompt et.

Pour plus d'informations sur la fonctionnalité d'invite automatique de la AWS CLI version 2, consultezVous êtes AWS CLI invité à saisir des commandes.

cli_binary_format

Spécifie la manière dont la AWS CLI version 2 interprète les paramètres d'entrée binaires. Il peut avoir l'une des valeurs suivantes :

  • base64 — Il s'agit de la valeur par défaut. Un paramètre d'entrée qui est saisi comme un objet BLOB accepte une chaîne codée en base64. Pour transmettre le contenu binaire réel, placez le contenu dans un fichier et indiquez le chemin d'accès et le nom du fichier avec le préfixe fileb:// comme valeur du paramètre. Pour transmettre du texte codé en base64 contenu dans un fichier, indiquez le chemin d'accès et le nom du fichier avec le préfixe file:// comme valeur du paramètre.

  • raw-in-base64-out — Valeur par défaut pour la AWS CLI version 1. Si la valeur du paramètre estraw-in-base64-out, les fichiers référencés à l'aide du file:// préfixe sont lus sous forme de texte, puis les AWS CLI tentatives de codage en binaire sont tentées.

Cette entrée n'a pas de variable d'environnement équivalente. Vous pouvez spécifier la valeur sur une commande seule à l'aide du paramètre --cli-binary-format raw-in-base64-out.

cli_binary_format = raw-in-base64-out

Si vous référencez une valeur binaire dans un fichier à l'aide de la notation fileb:// préfixe, le fichier s'attend AWS CLI toujours à ce que le fichier contienne du contenu binaire brut et ne tente pas de convertir la valeur.

Si vous référencez une valeur binaire dans un fichier à l'aide de la notation file:// préfixe, AWS CLI le fichier est géré conformément au cli_binary_format paramètre actuel. Si la valeur de ce paramètre est base64 (la valeur par défaut lorsqu'elle n'est pas définie explicitement), le fichier AWS CLI s'attend à ce que le fichier contienne du texte codé en base64. Si la valeur de ce paramètre estraw-in-base64-out, le fichier AWS CLI s'attend à ce que le fichier contienne du contenu binaire brut.

cli_history

Ce paramètre est désactivé par défaut. Ce paramètre active l'historique des commandes pour AWS CLI. Après avoir activé ce paramètre, AWS CLI enregistre l'historique des aws commandes.

cli_history = enabled

Vous pouvez répertorier votre historique à l'aide de la aws history list commande et utiliser la aws history show commande qui command_ids en résulte pour plus de détails. Pour plus d'informations, consultez le guide AWS CLI de référence.

cli_pager

Spécifie le programme de pager utilisé pour la sortie. Par défaut, AWS CLI la version 2 renvoie toutes les sorties via le programme de téléavertisseur par défaut de votre système d'exploitation.

Peut être remplacé par la variable d'environnement AWS_PAGER.

cli_pager=less

Pour désactiver toute utilisation d'un programme de pagination externe, définissez la variable sur une chaîne vide, comme illustré dans l'exemple suivant.

cli_pager=
cli_timestamp_format

Spécifie le format des valeurs d'horodatage incluses dans la sortie. Vous pouvez spécifier chacune des valeurs suivantes :

  • iso8601 — La valeur par défaut pour la AWS CLI version 2. Si cela est spécifié, tous les horodatages sont AWS CLI reformatés conformément à la norme ISO 8601.

    Les horodatages au format ISO 8601 ressemblent aux exemples suivants. Le premier exemple montre l'heure en temps universel coordonné (UTC) en incluant un Z après l'heure. La date et l'heure sont séparées par un T.

    2019-10-31T22:21:41Z

    Pour spécifier un fuseau horaire différent, au lieu de Z, spécifiez un + ou un - et le nombre d'heures que le fuseau horaire a en plus ou en moins par rapport à l'heure UTC, sous forme de valeur à deux chiffres. L'exemple suivant montre la même heure que l'exemple précédent, mais ajustée à l'heure standard du Pacifique, qui se traduit par huit heures de retard par rapport à l'heure UTC.

    2019-10-31T14:21:41-08

  • wire — La valeur par défaut pour la AWS CLI version 1. Si cela est spécifié, AWS CLI affiche toutes les valeurs d'horodatage exactement telles qu'elles ont été reçues dans la réponse à la requête HTTP.

Cette entrée n'a pas d'équivalent variable d'environnement ou option de ligne de commande.

cli_timestamp_format = iso8601
credential_process

Spécifie une commande externe à exécuter AWS CLI pour générer ou récupérer les informations d'authentification à utiliser pour cette commande. La commande doit renvoyer les informations d'identification dans un format spécifique. Pour plus d'informations sur l'utilisation de ce paramètre, consultez Informations d'identification de la source avec un processus externe.

Cette entrée n'a pas d'équivalent variable d'environnement ou option de ligne de commande.

credential_process = /opt/bin/awscreds-retriever --username susan
credential_source

Utilisé dans les instances ou les conteneurs Amazon EC2 pour spécifier où se AWS CLI trouvent les informations d'identification à utiliser pour assumer le rôle que vous avez spécifié avec le role_arn paramètre. Vous ne pouvez pas spécifier à la fois source_profile et credential_source dans le même profil.

Ce paramètre peut avoir l'une des trois valeurs suivantes :

  • Environnement — Spécifie qu'il s' AWS CLI agit de récupérer les informations d'identification de la source à partir des variables d'environnement.

  • Ec2 InstanceMetadata — Spécifie qu' AWS CLI il faut utiliser le rôle IAM attaché au profil d'instance EC2 pour obtenir les informations d'identification de la source.

  • EcsContainer— Spécifie qu' AWS CLI il faut utiliser le rôle IAM attaché au conteneur ECS comme informations d'identification source.

credential_source = Ec2InstanceMetadata
duration_seconds

Spécifie la durée maximale de la session de rôle, en secondes. La valeur peut être comprise entre 900 secondes (15 minutes) et la valeur de durée de session maximale définie pour le rôle (soit 43 200 au maximum). Il s'agit d'un paramètre facultatif et, par défaut, la valeur est définie sur 3600 secondes.

endpoint_url

Spécifie le point de terminaison utilisé pour toutes les demandes de service. Si ce paramètre est utilisé dans la servicessection du config fichier, le point de terminaison est utilisé uniquement pour le service spécifié.

L'exemple suivant utilise le point de terminaison global http://localhost:1234 et un point de terminaison spécifique au service http://localhost:4567 pour Amazon S3.

[profile dev]
endpoint_url = http://localhost:1234
services = s3-specific

[services s3-specific]
s3 = 
  endpoint_url = http://localhost:4567

Les paramètres de configuration du point de terminaison se trouvent à plusieurs endroits, tels que les variables d'environnement système ou utilisateur, les fichiers de AWS configuration locaux, ou sont explicitement déclarés sur la ligne de commande en tant que paramètre. Les paramètres de configuration du point de AWS CLI terminaison sont prioritaires dans l'ordre suivant :

  1. L'option --endpoint-url de ligne de commande.

  2. Si cette option est activée, la variable d'environnement AWS_IGNORE_CONFIGURED_ENDPOINT_URLS global du point de terminaison ou le paramètre ignore_configure_endpoint_urls de profil ignore les points de terminaison personnalisés.

  3. La valeur fournie par une variable d'environnement spécifique au serviceAWS_ENDPOINT_URL_<SERVICE>, telle que. AWS_ENDPOINT_URL_DYNAMODB

  4. Les valeurs fournies par les variables d'AWS_ENDPOINT_URLenvironnement AWS_USE_DUALSTACK_ENDPOINTAWS_USE_FIPS_ENDPOINT, et.

  5. La valeur du point de terminaison spécifique au service fournie par le endpoint_url paramètre dans une services section du fichier partagéconfig.

  6. La valeur fournie par le endpoint_url paramètre dans un profile config fichier partagé.

  7. use_dualstack_endpointuse_fips_endpoint, et endpoint_url paramètres.

  8. Toute URL de point de terminaison par défaut pour le point correspondant Service AWS est utilisée en dernier. Pour afficher la liste des points de terminaison de service disponibles dans chaque région, consultez Régions et points de terminaison AWS dans le document Référence générale d'Amazon Web Services.

ignore_configure_endpoint_urls

Si cette option est activée, elle AWS CLI ignore toutes les configurations de point de terminaison personnalisées spécifiées dans le config fichier. Les valeurs valides sont true et false.

ignore_configure_endpoint_urls = true

Les paramètres de configuration du point de terminaison se trouvent à plusieurs endroits, tels que les variables d'environnement système ou utilisateur, les fichiers de AWS configuration locaux, ou sont explicitement déclarés sur la ligne de commande en tant que paramètre. Les paramètres de configuration du point de AWS CLI terminaison sont prioritaires dans l'ordre suivant :

  1. L'option --endpoint-url de ligne de commande.

  2. Si cette option est activée, la variable d'environnement AWS_IGNORE_CONFIGURED_ENDPOINT_URLS global du point de terminaison ou le paramètre ignore_configure_endpoint_urls de profil ignore les points de terminaison personnalisés.

  3. La valeur fournie par une variable d'environnement spécifique au serviceAWS_ENDPOINT_URL_<SERVICE>, telle que. AWS_ENDPOINT_URL_DYNAMODB

  4. Les valeurs fournies par les variables d'AWS_ENDPOINT_URLenvironnement AWS_USE_DUALSTACK_ENDPOINTAWS_USE_FIPS_ENDPOINT, et.

  5. La valeur du point de terminaison spécifique au service fournie par le endpoint_url paramètre dans une services section du fichier partagéconfig.

  6. La valeur fournie par le endpoint_url paramètre dans un profile config fichier partagé.

  7. use_dualstack_endpointuse_fips_endpoint, et endpoint_url paramètres.

  8. Toute URL de point de terminaison par défaut pour le point correspondant Service AWS est utilisée en dernier. Pour afficher la liste des points de terminaison de service disponibles dans chaque région, consultez Régions et points de terminaison AWS dans le document Référence générale d'Amazon Web Services.

external_id

Identifiant unique utilisé par des tiers pour assumer un rôle dans les comptes de leurs clients. Il est mappé au paramètre ExternalId dans l'opération AssumeRole. Ce paramètre n'est nécessaire que si la stratégie d'approbation du rôle spécifie une valeur pour ExternalId. Pour plus d'informations, consultez la section Comment utiliser un identifiant externe pour accorder l'accès à vos AWS ressources à un tiers dans le guide de l'utilisateur IAM.

max_attempts

Spécifie la valeur maximale de tentatives utilisées par le gestionnaire de AWS CLI nouvelles tentatives, l'appel initial étant pris en compte dans la max_attempts valeur que vous fournissez.

Vous pouvez remplacer cette valeur en utilisant la variable d'AWS_MAX_ATTEMPTSenvironnement.

max_attempts = 3
mfa_serial

Numéro d'identification d’un périphérique MFA à utiliser lors de l'endossement d'un rôle. Cela est obligatoire seulement si la stratégie d'approbation du rôle assumé inclut une condition exigeant une authentification MFA. La valeur peut être un numéro de série pour un périphérique matériel (tel que GAHT12345678) ou un Amazon Resource Name (ARN) pour un périphérique MFA virtuel (tel que arn:aws:iam::123456789012:mfa/user).

output

Spécifie le format de sortie par défaut des commandes demandées en utilisant ce profil. Vous pouvez spécifier les valeurs suivantes :

  • json— La sortie est formatée sous forme de chaîne JSON.

  • yaml— La sortie est formatée sous forme de chaîne YAML.

  • yaml-stream— La sortie est diffusée et formatée sous forme de chaîne YAML. Le streaming permet de traiter plus rapidement de gros types de données.

  • text— La sortie est formatée sous la forme de plusieurs lignes de valeurs de chaîne séparées par des tabulations. Cela peut être utile pour transmettre le résultat à un processeur de texte, comme grepsed, ouawk.

  • table— La sortie est formatée sous forme de tableau en utilisant les caractères +|- pour former les bordures des cellules. La présentation des informations est dans un format beaucoup plus lisible par l'utilisateur que les autres, mais peu pratique du point de vue programmation.

Peut être remplacé par la variable d'environnement AWS_DEFAULT_OUTPUT ou l'option de ligne de commande --output.

output = table
parameter_validation

Spécifie si le AWS CLI client tente de valider les paramètres avant de les envoyer au point de terminaison du AWS service.

  • true — Il s'agit de la valeur par défaut. Si cela est spécifié, il AWS CLI effectue une validation locale des paramètres de ligne de commande.

  • false — Si spécifié, les paramètres de ligne de commande AWS CLI ne sont pas validés avant de les envoyer au point de terminaison du AWS service.

Cette entrée n'a pas d'équivalent variable d'environnement ou option de ligne de commande.

parameter_validation = false
region

Spécifie Région AWS à qui envoyer les demandes pour les commandes demandées à l'aide de ce profil.

  • Vous pouvez spécifier n'importe quel code de région disponible pour le service choisi, comme indiqué dans la section AWS Régions et points de terminaison du Référence générale d'Amazon Web Services.

  • aws_globalvous permet de spécifier le point de terminaison global pour les services qui prennent en charge un point de terminaison mondial en plus des points de terminaison régionaux, tels que AWS Security Token Service (AWS STS) et Amazon Simple Storage Service (Amazon S3).

Vous pouvez remplacer cette valeur en utilisant la variable d'AWS_REGIONenvironnement, la variable d'AWS_DEFAULT_REGIONenvironnement ou l'option de ligne de --region commande.

region = us-west-2
retry_mode

Spécifie le mode de nouvelle tentative AWS CLI utilisé. Trois modes de nouvelle tentative sont disponibles : ancien (par défaut), standard et adaptatif. Pour plus d'informations sur les nouvelles tentatives, consultez la section AWS CLIréessaie.

Vous pouvez remplacer cette valeur en utilisant la variable d'AWS_RETRY_MODEenvironnement.

retry_mode = standard
role_arn

Spécifie le nom de ressource Amazon (ARN) d'un rôle IAM que vous souhaitez utiliser pour exécuter les AWS CLI commandes. Vous devez également spécifier l'un des paramètres suivants pour identifier les informations d'identification autorisées à assumer ce rôle :

  • source_profile

  • credential_source

role_arn = arn:aws:iam::123456789012:role/role-name

La variable d'environnement AWS_ROLE_ARNremplace ce paramètre.

Pour plus d'informations sur l'utilisation des identités Web, consultezUtilisation d'un rôle à l'aide d'une identité web.

role_session_name

Spécifie le nom à attacher à la session de rôle. Cette valeur est fournie au paramètre RoleSessionName lorsque l' AWS CLI appelle l'opération AssumeRole et fait partie de l'ARN utilisateur du rôle assumé : arn:aws:sts::123456789012:assumed-role/role_name/role_session_name. Ce paramètre est facultatif. Si vous ne spécifiez pas cette valeur, un nom de session est généré automatiquement. Ce nom s'affiche dans les journaux AWS CloudTrail pour les entrées associées à cette session.

role_session_name = maria_garcia_role

La variable d'environnement AWS_ROLE_SESSION_NAMEremplace ce paramètre.

Pour plus d'informations sur l'utilisation des identités Web, consultezUtilisation d'un rôle à l'aide d'une identité web.

services

Spécifie la configuration du service à utiliser pour votre profil. 

[profile dev-s3-specific-and-global]
endpoint_url = http://localhost:1234
services = s3-specific

[services s3-specific]
s3 = 
  endpoint_url = http://localhost:4567

Pour plus d'informations sur services cette section, consultezType de section : services.

La variable d'environnement AWS_ROLE_SESSION_NAMEremplace ce paramètre.

Pour plus d'informations sur l'utilisation des identités Web, consultezUtilisation d'un rôle à l'aide d'une identité web.

source_profile

Spécifie un profil nommé avec des informations d'identification à long terme que l’ AWS CLI peut utiliser pour assumer un rôle que vous avez spécifié avec le paramètre role_arn. Vous ne pouvez pas spécifier à la fois source_profile et credential_source dans le même profil.

source_profile = production-profile
sso_account_id

Spécifie l'ID de AWS compte qui contient le rôle IAM avec l'autorisation que vous souhaitez accorder à l'utilisateur IAM Identity Center associé.

Ce paramètre n'a pas de variable d'environnement ou d'option de ligne de commande.

sso_account_id = 123456789012
sso_region

Spécifie la AWS région qui contient l'hôte du portail d' AWS accès. Cette région est distincte, et peut être différente du paramètre region de l'interface de ligne de commande par défaut.

Ce paramètre n'a pas de variable d'environnement ou d'option de ligne de commande.

sso_region = us_west-2
sso_registration_scopes

Liste séparée par des virgules de portées à autoriser pour. sso-session Les étendues autorisent l'accès aux points de terminaison autorisés par le porteur du jeton IAM Identity Center. Une étendue valide est une chaîne, telle quesso:account:access. Ce paramètre ne s'applique pas à l'ancienne configuration non actualisable.

sso_registration_scopes = sso:account:access
sso_role_name

Spécifie le nom convivial du rôle IAM qui définit les autorisations de l'utilisateur lors de l'utilisation de ce profil.

Ce paramètre n'a pas de variable d'environnement ou d'option de ligne de commande.

sso_role_name = ReadAccess
sso_start_url

Spécifie l'URL qui pointe vers le portail d' AWS accès de l'organisation. Il AWS CLI utilise cette URL pour établir une session avec le service IAM Identity Center afin d'authentifier ses utilisateurs. Pour trouver l'URL de votre portail d' AWS accès, utilisez l'une des méthodes suivantes :

Ce paramètre n'a pas de variable d'environnement ou d'option de ligne de commande. 

sso_start_url = https://my-sso-portal.awsapps.com/start
use_dualstack_endpoint

Permet d'utiliser des points de terminaison à double pile pour envoyer AWS des demandes. Pour en savoir plus sur les points de terminaison à double pile, qui prennent en charge le trafic IPv4 et IPv6, consultez la section Utilisation des points de terminaison à double pile Amazon S3 dans le guide de l'utilisateur d'Amazon Simple Storage Service. Des points de terminaison à double pile sont disponibles pour certains services dans certaines régions. S'il n'existe pas de point de terminaison à double pile pour le service ou Région AWS si la demande échoue. Par défaut, l'option est désactivée.

Ce paramètre et use_accelerate_endpoint sont mutuellement exclusifs.

Les paramètres de configuration du point de terminaison se trouvent à plusieurs endroits, tels que les variables d'environnement système ou utilisateur, les fichiers de AWS configuration locaux, ou sont explicitement déclarés sur la ligne de commande en tant que paramètre. Les paramètres de configuration du point de AWS CLI terminaison sont prioritaires dans l'ordre suivant :

  1. L'option --endpoint-url de ligne de commande.

  2. Si cette option est activée, la variable d'environnement AWS_IGNORE_CONFIGURED_ENDPOINT_URLS global du point de terminaison ou le paramètre ignore_configure_endpoint_urls de profil ignore les points de terminaison personnalisés.

  3. La valeur fournie par une variable d'environnement spécifique au serviceAWS_ENDPOINT_URL_<SERVICE>, telle que. AWS_ENDPOINT_URL_DYNAMODB

  4. Les valeurs fournies par les variables d'AWS_ENDPOINT_URLenvironnement AWS_USE_DUALSTACK_ENDPOINTAWS_USE_FIPS_ENDPOINT, et.

  5. La valeur du point de terminaison spécifique au service fournie par le endpoint_url paramètre dans une services section du fichier partagéconfig.

  6. La valeur fournie par le endpoint_url paramètre dans un profile config fichier partagé.

  7. use_dualstack_endpointuse_fips_endpoint, et endpoint_url paramètres.

  8. Toute URL de point de terminaison par défaut pour le point correspondant Service AWS est utilisée en dernier. Pour afficher la liste des points de terminaison de service disponibles dans chaque région, consultez Régions et points de terminaison AWS dans le document Référence générale d'Amazon Web Services.

use_fips_endpoint

Certains AWS services proposent des terminaux compatibles avec la norme fédérale de traitement de l'information (FIPS) 140-2 dans certains cas. Régions AWS Lorsque le AWS service prend en charge le protocole FIPS, ce paramètre indique le point de terminaison FIPS à utiliser AWS CLI . Contrairement aux points de AWS terminaison standard, les points de terminaison FIPS utilisent une bibliothèque logicielle TLS conforme à la norme FIPS 140-2. Ces points de terminaison peuvent être requis par les entreprises qui interagissent avec le gouvernement des États-Unis.

Si ce paramètre est activé, mais qu'il n'existe pas de point de terminaison FIPS pour le service dans votre ordinateur Région AWS, la AWS commande risque d'échouer. Dans ce cas, spécifiez manuellement le point de terminaison à utiliser dans la commande à l'aide de l'--endpoint-urloption ou utilisez des points de terminaison spécifiques au service.

Pour plus d'informations sur la spécification des points de terminaison FIPS par Région AWS, consultez la section Points de terminaison FIPS par service.

Les paramètres de configuration du point de terminaison se trouvent à plusieurs endroits, tels que les variables d'environnement système ou utilisateur, les fichiers de AWS configuration locaux, ou sont explicitement déclarés sur la ligne de commande en tant que paramètre. Les paramètres de configuration du point de AWS CLI terminaison sont prioritaires dans l'ordre suivant :

  1. L'option --endpoint-url de ligne de commande.

  2. Si cette option est activée, la variable d'environnement AWS_IGNORE_CONFIGURED_ENDPOINT_URLS global du point de terminaison ou le paramètre ignore_configure_endpoint_urls de profil ignore les points de terminaison personnalisés.

  3. La valeur fournie par une variable d'environnement spécifique au serviceAWS_ENDPOINT_URL_<SERVICE>, telle que. AWS_ENDPOINT_URL_DYNAMODB

  4. Les valeurs fournies par les variables d'AWS_ENDPOINT_URLenvironnement AWS_USE_DUALSTACK_ENDPOINTAWS_USE_FIPS_ENDPOINT, et.

  5. La valeur du point de terminaison spécifique au service fournie par le endpoint_url paramètre dans une services section du fichier partagéconfig.

  6. La valeur fournie par le endpoint_url paramètre dans un profile config fichier partagé.

  7. use_dualstack_endpointuse_fips_endpoint, et endpoint_url paramètres.

  8. Toute URL de point de terminaison par défaut pour le point correspondant Service AWS est utilisée en dernier. Pour afficher la liste des points de terminaison de service disponibles dans chaque région, consultez Régions et points de terminaison AWS dans le document Référence générale d'Amazon Web Services.

web_identity_token_file

Spécifie le chemin d'accès à un fichier qui contient un jeton d'accès OAuth 2.0 ou un jeton d'identification OpenID Connect fourni par un fournisseur d'identité. L’ AWS CLI charge le contenu de ce fichier et le transmet en tant qu’argument WebIdentityToken à l'opération AssumeRoleWithWebIdentity.

La variable d'environnement AWS_WEB_IDENTITY_TOKEN_FILE remplace ce paramètre.

Pour plus d'informations sur l'utilisation des identités Web, consultezUtilisation d'un rôle à l'aide d'une identité web.

tcp_keepalive

Spécifie si le AWS CLI client utilise des paquets TCP Keep-Alive.

Cette entrée n'a pas d'équivalent variable d'environnement ou option de ligne de commande.

tcp_keepalive = false

Paramètres de commandes personnalisées S3

Amazon S3 prend en charge plusieurs paramètres qui configurent la manière dont AWS CLI les opérations Amazon S3 sont effectuées. Certains s'appliquent à toutes les commandes S3 dans les deux espaces de noms s3 et s3api. D'autres sont spécifiquement destinées aux commandes « personnalisées » S3 qui font abstraction des opérations courantes et font plus qu'un one-to-one mappage vers une opération d'API. Les commandes de transfert aws s3 cp, sync, mv et rm ont des paramètres supplémentaires que vous pouvez utiliser pour contrôler les transferts S3.

Toutes ces options peuvent être configurées en spécifiant le paramètre imbriqué s3 dans votre fichier config. Chaque paramètre est en retrait sur sa propre ligne.

Note

Ces paramètres sont entièrement facultatifs. Vous devriez pouvoir utiliser les commandes de transfert aws s3 sans configurer aucun de ces paramètres. Ces paramètres sont fournis pour vous permettre d'optimiser les performances ou pour prendre en compte l'environnement spécifique dans lequel vous exécutez ces commandes aws s3.

Ces paramètres sont tous définis sous une clé s3 de niveau supérieur dans le fichier config, comme illustré dans l'exemple suivant pour le profil development :

[profile development]
s3 =
  max_concurrent_requests = 20
  max_queue_size = 10000
  multipart_threshold = 64MB
  multipart_chunksize = 16MB
  max_bandwidth = 50MB/s
  use_accelerate_endpoint = true
  addressing_style = path

Les paramètres suivants s'appliquent à n'importe quelle commande S3 dans les espaces de noms s3 et s3api.

addressing_style

Spécifie le type d'adressage à utiliser. Il vérifie si le nom du compartiment figure dans le nom d'hôte ou fait partie de l'URL. Les valeurs valides sont path, virtual et auto. La valeur par défaut est auto.

Il existe deux styles de construction d'un point de terminaison Amazon S3. Le premier est appelé virtual et inclut le nom du compartiment dans le nom d'hôte. Par exemple : https://bucketname.s3.amazonaws.com. Sinon, avec le style path, vous traitez le nom du compartiment comme s'il s'agissait d'un chemin d'accès dans l'URI : par exemple, https://s3.amazonaws.com/bucketname. La valeur par défaut dans l'interface de ligne de commande consiste à utiliser auto, qui tente d'utiliser le style virtual chaque fois que possible, mais bascule, au besoin, sur le style path. Par exemple, si le nom de votre compartiment n'est pas compatible DNS, ce nom ne peut pas faire partie du nom d'hôte et doit être dans le chemin d'accès. Avec auto, l'interface de ligne de commande détecte cette condition et passe automatiquement au style path. Si vous définissez le style d'adressage surpath, vous devez alors vous assurer que la AWS région dans laquelle vous avez configuré AWS CLI correspond à la région de votre compartiment.

payload_signing_enabled

Spécifie s'il convient de signer SHA256 les charges utiles sigv4. Par défaut, cette option est désactivée pour les chargements de streaming (UploadPart et PutObject) lors de l'utilisation de https. Par défaut, cette option est définie sur false pour les chargements de streaming (UploadPart et PutObject), mais uniquement si un ContentMD5 est présent (il est générée par défaut) et sir le point de terminaison utilise le protocole HTTPS.

Si la valeur est true, les requêtes S3 reçoivent du contenu de validation supplémentaire sous la forme d'un total de contrôle SHA256 qui est calculé automatiquement et inclus dans la signature de la requête. Si la valeur est false, le total de contrôle n'est pas calculé. La désactivation peut s'avérer utile pour réduire la surcharge en termes de performances générée par le calcul du total de contrôle.

use_accelerate_endpoint

Utilisez le point de terminaison Amazon S3 Accelerate pour toutes les s3api commandes s3 et. La valeur par défaut est false. Ce paramètre et use_dualstack_endpoint sont mutuellement exclusifs.

S'il est défini sur true, toutes les AWS CLI demandes Amazon S3 sont dirigées vers le S3 Accelerate point de terminaison situé às3-accelerate.amazonaws.com. Pour utiliser ce point de terminaison, vous devez activer votre compartiment pour utiliser S3 Accelerate. Toutes les requêtes sont envoyées en utilisant le style virtuel de l'adressage de compartiment : my-bucket.s3-accelerate.amazonaws.com. Les requêtes ListBuckets, CreateBucket et DeleteBucket ne sont pas envoyées au point de terminaison S3 Accelerate, car celui-ci ne prend pas en charge ces opérations. Ce comportement peut également être défini sur si le paramètre --endpoint-url est défini sur https://s3-accelerate.amazonaws.com ou http://s3-accelerate.amazonaws.com pour toute commande s3api ou s3.

Les paramètres suivants ne s'appliquent qu'aux commandes de l'ensemble de commandes de l'espace de noms s3 :

max_bandwidth

Spécifie la bande passante maximale qui peut être consommée pour le chargement et le téléchargement de données vers et depuis Amazon S3. La valeur par défaut sans limite.

Cela limite la bande passante maximale que les commandes S3 peuvent utiliser pour transférer des données vers et depuis Amazon S3. Cette valeur ne s'applique qu'aux chargements et aux téléchargements ; elle ne s'applique pas aux copies ou suppressions. La valeur est exprimée en octets par seconde. La valeur peut être spécifiée comme suit :

  • Un entier. Par exemple, 1048576 définit l'utilisation maximale de bande passante à 1 méga-octet par seconde.

  • Un entier suivi d'un taux suffixe de débit. Vous pouvez spécifier des suffixes de débit en utilisant : KB/s, MB/s, ou GB/s. Par exemple, 300KB/s, 10MB/s.

En général, nous vous recommandons de commencer par essayer de réduire la consommation de bande passante en diminuant max_concurrent_requests. Si cela ne limite pas la consommation de bande passante de façon adéquate pour le débit souhaité, vous pouvez utiliser le paramètre max_bandwidth pour limiter davantage la consommation de bande passante. Il en est ainsi parce que max_concurrent_requests contrôle le nombre de threads en cours d'exécution. Si à la place vous baissez d'abord max_bandwidth, mais conservez une valeur max_concurrent_requests élevée, cela peut conduire certains threads à attendre inutilement. Cela peut entraîner une consommation excessive de ressources et des délais d'expiration de connexion.

max_concurrent_requests

Spécifie le nombre maximal de requêtes simultanées. La valeur par défaut est 10.

Le commandes de transfert aws s3 sont multithread. À tout moment, plusieurs requêtes Amazon S3 peuvent être en cours d'exécution. Par exemple, lorsque vous utilisez la commande aws s3 cp localdir s3://bucket/ --recursive pour télécharger des fichiers dans un compartiment S3, ils AWS CLI peuvent télécharger les fichiers localdir/file1localdir/file2, et localdir/file3 en parallèle. Le paramètre max_concurrent_requests spécifie le nombre maximal d'opérations de transfert qui peuvent s'exécuter en même temps.

Vous devrez peut-être modifier cette valeur pour quelques raisons :

  • Diminution de cette valeur — Dans certains environnements, la valeur par défaut de 10 demandes simultanées peut submerger le système. Cela peut entraîner des délais de connexion ou réduire la réactivité du système. La réduction de cette valeur rend les commandes de transfert S3 moins gourmandes en ressources. Le compromis est que les transferts S3 peuvent prendre plus de temps à s'exécuter. La réduction de cette valeur peut s'avérer nécessaire si vous utilisez un outil pour limiter la bande passante.

  • Augmenter cette valeur — Dans certains scénarios, vous souhaiterez peut-être que les transferts Amazon S3 soient effectués le plus rapidement possible, en utilisant autant de bande passante réseau que nécessaire. Dans ce scénario, le nombre par défaut de requêtes simultanées peut ne pas être suffisant pour utiliser toute la bande passante réseau disponible. L'augmentation de cette valeur peut améliorer le temps nécessaire pour effectuer un transfert Amazon S3.

max_queue_size

Spécifie le nombre maximal de tâches dans la file d'attente de tâches. La valeur par défaut est 1000.

AWS CLI En interne, il utilise un modèle dans lequel il met en file d'attente les tâches Amazon S3 qui sont ensuite exécutées par des consommateurs dont le nombre est limité à. max_concurrent_requests Une tâche correspond généralement à une seule opération Amazon S3. Par exemple, une tâche pourrait être une PutObjectTask, GetObjectTask ou UploadPartTask. La vitesse à laquelle les tâches sont ajoutées à la file d'attente peut être largement plus rapide que celle à laquelle les consommateurs terminent les tâches. Pour éviter une croissance sans limite, la taille de la file d'attente de tâches est limitée à une valeur spécifique. Ce paramètre modifie la valeur de ce nombre maximal.

En général, vous n'avez pas besoin de modifier ce paramètre. Ce paramètre correspond également au nombre de tâches dont il a connaissance et qui doivent être exécutées. AWS CLI Cela signifie que par défaut, ils ne AWS CLI peuvent voir que 1000 tâches à venir. L' AWS CLI augmentation de cette valeur permet de connaître plus rapidement le nombre total de tâches nécessaires, en supposant que le taux de mise en file d'attente est plus rapide que le taux d'achèvement des tâches. Le compromis est qu'une max_queue_size plus importante nécessite plus de mémoire.

multipart_chunksize

Spécifie la taille de bloc AWS CLI utilisée pour les transferts partitionnés de fichiers individuels. La valeur par défaut est 8 Mo, avec un minimum de 5 Mo.

Lorsqu'un transfert de fichier dépasse lemultipart_threshold, il AWS CLI divise le fichier en morceaux de cette taille. Cette valeur peut être spécifiée en utilisant la même syntaxe que multipart_threshold, comme nombre d'octets sous la forme d'un entier ou en utilisant une taille et un suffixe.

multipart_threshold

Spécifie le seuil de taille AWS CLI utilisé pour les transferts partitionnés de fichiers individuels. La valeur par défaut est de 8 Mo.

Lors du chargement, du téléchargement ou de la copie d'un fichier, les commandes Amazon S3 passent aux opérations en plusieurs parties si le fichier dépasse cette taille. Vous pouvez spécifier cette valeur de deux manières :

  • La taille de fichier en octets. Par exemple, 1048576.

  • La taille de fichier avec un suffixe de taille. Vous pouvez utiliser KB, MB, GB ou TB. Par exemple, 10MB, 1GB.

    Note

    S3 peut imposer des contraintes sur les valeurs valides utilisables être utilisées pour les opérations partitionnées. Pour plus d'informations, consultez la documentation relative au chargement partitionné S3 dans le guide de l'utilisateur d'Amazon Simple Storage Service.