Gunakan IAM peran dalam AWS CLI

Peran AWS Identity and Access Management (IAM) adalah alat otorisasi yang memungkinkan pengguna mendapatkan izin tambahan (atau berbeda), atau mendapatkan izin untuk melakukan tindakan di akun yang berbeda. AWS

Prasyarat

Untuk menjalankan iam perintah, Anda perlu menginstal dan mengkonfigurasi AWS CLI. Untuk informasi selengkapnya, lihat Instal atau perbarui ke versi terbaru AWS CLI.

Ikhtisar penggunaan IAM peran

Anda dapat mengonfigurasi AWS Command Line Interface (AWS CLI) untuk menggunakan IAM peran dengan menentukan profil untuk peran dalam ~/.aws/config file.

Contoh berikut menunjukkan profil peran bernamamarketingadmin. Jika Anda menjalankan perintah dengan --profile marketingadmin (atau menentukannya dengan variabel PROFILE lingkungan AWS _), akan AWS CLI menggunakan kredensional yang ditentukan dalam profil terpisah user1 untuk mengambil peran dengan Amazon Resource Name ()ARN. arn:aws:iam::123456789012:role/marketingadminrole Anda dapat menjalankan operasi apa pun yang diizinkan oleh izin yang ditetapkan untuk peran tersebut.

[profile marketingadmin]
role_arn = arn:aws:iam::123456789012:role/marketingadminrole
source_profile = user1

Anda kemudian dapat menentukan source_profile yang menunjuk ke profil bernama terpisah yang berisi kredenal pengguna dengan izin untuk menggunakan peran tersebut. Pada contoh sebelumnya, marketingadmin profil menggunakan kredensional di profil. user1 Ketika Anda menentukan bahwa AWS CLI perintah adalah untuk menggunakan profilmarketingadmin, AWS CLI secara otomatis mencari kredensional untuk user1 profil tertaut dan menggunakannya untuk meminta kredensi sementara untuk peran yang ditentukan. IAM CLIMenggunakan AssumeRole operasi sts: di latar belakang untuk mencapai ini. Kredensial sementara tersebut kemudian digunakan untuk menjalankan perintah yang diminta AWS CLI . Peran yang ditentukan harus memiliki kebijakan IAM izin terlampir yang memungkinkan AWS CLI perintah yang diminta dijalankan.

Untuk menjalankan AWS CLI perintah dari dalam instance Amazon Elastic Compute Cloud (AmazonEC2) atau container Amazon Elastic Container Service (AmazonECS), Anda dapat menggunakan IAM peran yang dilampirkan ke profil instance atau container. Jika Anda menentukan tidak ada profil atau tidak menyetel variabel lingkungan, peran itu digunakan secara langsung. Hal ini memungkinkan Anda untuk menghindari menyimpan kunci akses berumur panjang pada instans Anda. Anda juga dapat menggunakan peran instance atau kontainer tersebut hanya untuk mendapatkan kredensional untuk peran lain. Untuk melakukan ini, Anda menggunakan credential_source (bukansource_profile) untuk menentukan cara menemukan kredensialnya. credential_sourceAtribut mendukung nilai-nilai berikut:

• Environment— Mengambil kredensi sumber dari variabel lingkungan.

• Ec2InstanceMetadata— Menggunakan IAM peran yang dilampirkan ke profil EC2 instans Amazon.

• EcsContainer— Menggunakan IAM peran yang dilampirkan ke ECS wadah Amazon.

Contoh berikut menunjukkan marketingadminrole peran yang sama yang digunakan dengan mereferensikan profil EC2 instans Amazon.

[profile marketingadmin]
role_arn = arn:aws:iam::123456789012:role/marketingadminrole
credential_source = Ec2InstanceMetadata

Ketika Anda memanggil peran, Anda memiliki opsi tambahan yang dapat Anda perlukan, seperti penggunaan otentikasi multi-faktor dan ID Eksternal (digunakan oleh perusahaan pihak ketiga untuk mengakses sumber daya klien mereka). Anda juga dapat menentukan nama sesi peran unik yang dapat lebih mudah diaudit di AWS CloudTrail log.

Mengkonfigurasi dan menggunakan peran

Saat Anda menjalankan perintah menggunakan profil yang menentukan IAM peran, kredensional profil sumber akan AWS CLI digunakan untuk memanggil AWS Security Token Service (AWS STS) dan meminta kredenal sementara untuk peran yang ditentukan. Pengguna di profil sumber harus memiliki izin sts:assume-role untuk memanggil peran dalam profil yang ditentukan. Peran harus memiliki hubungan kepercayaan yang memungkinkan pengguna di profil sumber untuk menggunakan peran tersebut. Proses pengambilan dan kemudian menggunakan kredensi sementara untuk suatu peran sering disebut sebagai asumsi peran.

Anda dapat membuat peran IAM dengan izin yang ingin diasumsikan pengguna dengan mengikuti prosedur di bawah Membuat Peran untuk Mendelegasikan Izin kepada IAM pengguna di Panduan Pengguna.AWS Identity and Access Management Jika peran dan pengguna profil sumber berada di akun yang sama, Anda dapat memasukkan ID akun Anda sendiri saat mengonfigurasi hubungan kepercayaan peran.

Setelah membuat peran, ubah hubungan kepercayaan untuk memungkinkan pengguna untuk menganggapnya.

Contoh berikut menunjukkan kebijakan kepercayaan yang dapat Anda lampirkan ke peran. Kebijakan ini memungkinkan peran diasumsikan oleh setiap pengguna di akun 123456789012, jika administrator akun tersebut secara eksplisit memberikan izin kepada pengguna. sts:AssumeRole

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::123456789012:root"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

Kebijakan kepercayaan sebenarnya tidak memberikan izin. Administrator akun harus mendelegasikan izin untuk mengambil peran tersebut kepada pengguna individu dengan melampirkan kebijakan dengan izin yang sesuai. Contoh berikut menunjukkan kebijakan yang dapat Anda lampirkan ke pengguna yang memungkinkan pengguna untuk mengambil marketingadminrole peran saja. Untuk informasi selengkapnya tentang pemberian akses pengguna untuk mengambil peran, lihat Memberikan Izin Pengguna untuk Beralih Peran di IAMPanduan Pengguna.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "sts:AssumeRole",
      "Resource": "arn:aws:iam::123456789012:role/marketingadminrole"
    }
  ]
}

Pengguna tidak perlu memiliki izin tambahan untuk menjalankan AWS CLI perintah menggunakan profil peran. Sebaliknya, izin untuk menjalankan perintah berasal dari yang dilampirkan pada peran. Anda melampirkan kebijakan izin ke peran untuk menentukan tindakan mana yang dapat dilakukan terhadap AWS sumber daya yang mana. Untuk informasi selengkapnya tentang melampirkan izin ke peran (yang berfungsi secara identik dengan pengguna), lihat Mengubah Izin untuk IAM pengguna di Panduan Pengguna. IAM

Sekarang setelah Anda memiliki profil peran, izin peran, hubungan kepercayaan peran, dan izin pengguna yang dikonfigurasi dengan benar, Anda dapat menggunakan peran di baris perintah dengan menjalankan opsi. --profile Misalnya, berikut ini memanggil ls perintah Amazon S3 menggunakan izin yang dilampirkan pada marketingadmin peran seperti yang ditentukan oleh contoh di awal topik ini.

$ aws s3 ls --profile marketingadmin

Untuk menggunakan peran untuk beberapa panggilan, Anda dapat mengatur variabel AWS_PROFILE lingkungan untuk sesi saat ini dari baris perintah. Sementara variabel lingkungan didefinisikan, Anda tidak perlu menentukan --profile opsi pada setiap perintah.

Linux atau macOS

$ export AWS_PROFILE=marketingadmin

Windows

C:\> setx AWS_PROFILE marketingadmin

Untuk informasi selengkapnya tentang mengonfigurasi pengguna dan peran, lihat IAMIdentitas (pengguna, grup pengguna, dan peran) dan IAMperan dalam IAMPanduan Pengguna.

Menggunakan otentikasi multi-faktor

Untuk keamanan tambahan, Anda dapat meminta pengguna menyediakan kunci satu kali yang dihasilkan dari perangkat autentikasi multi-faktor (MFA), perangkat U2F, atau aplikasi seluler saat mereka mencoba melakukan panggilan menggunakan profil peran.

Pertama, Anda dapat memilih untuk mengubah hubungan kepercayaan pada IAM peran yang dibutuhkanMFA. Ini mencegah siapa pun menggunakan peran tanpa terlebih dahulu mengautentikasi dengan menggunakanMFA. Sebagai contoh, lihat Condition baris dalam contoh berikut. Kebijakan ini memungkinkan pengguna yang diberi nama anika untuk mengambil peran yang dilampirkan kebijakan, tetapi hanya jika mereka mengautentikasi dengan menggunakanMFA.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": { "AWS": "arn:aws:iam::123456789012:user/anika" },
      "Action": "sts:AssumeRole",
      "Condition": { "Bool": { "aws:multifactorAuthPresent": true } }
    }
  ]
}

Selanjutnya, tambahkan baris ke profil peran yang menentukan ARN MFA perangkat pengguna. Entri config file contoh berikut menunjukkan dua profil peran yang keduanya menggunakan kunci akses bagi pengguna anika untuk meminta kredensi sementara untuk peran tersebut. cli-role Pengguna anika memiliki izin untuk mengambil peran, yang diberikan oleh kebijakan kepercayaan peran.

[profile role-without-mfa]
region = us-west-2
role_arn= arn:aws:iam::128716708097:role/cli-role
source_profile=cli-user

[profile role-with-mfa]
region = us-west-2
role_arn= arn:aws:iam::128716708097:role/cli-role
source_profile = cli-user
mfa_serial = arn:aws:iam::128716708097:mfa/cli-user

[profile cli-user]
region = us-west-2
output = json

mfa_serialPengaturan dapat mengambilARN, seperti yang ditunjukkan, atau nomor seri MFA token perangkat keras.

Profil pertama,role-without-mfa, tidak memerlukanMFA. Namun, karena kebijakan kepercayaan contoh sebelumnya yang dilampirkan pada peran memerlukanMFA, setiap upaya untuk menjalankan perintah dengan profil ini gagal.

$ aws iam list-users --profile role-without-mfa

An error occurred (AccessDenied) when calling the AssumeRole operation: Access denied

Entri profil kedua,role-with-mfa, mengidentifikasi MFA perangkat yang akan digunakan. Ketika pengguna mencoba menjalankan AWS CLI perintah dengan profil ini, AWS CLI meminta pengguna untuk memasukkan kata sandi satu kali (OTP) yang disediakan MFA perangkat. Jika MFA otentikasi berhasil, perintah melakukan operasi yang diminta. OTPItu tidak ditampilkan di layar.

$ aws iam list-users --profile role-with-mfa
Enter MFA code for arn:aws:iam::123456789012:mfa/cli-user:
{
    "Users": [
        {
            ...

Peran lintas akun dan ID eksternal

Anda dapat mengaktifkan pengguna untuk menggunakan peran yang dimiliki oleh akun yang berbeda dengan mengonfigurasi peran sebagai peran lintas akun. Selama pembuatan peran, setel tipe peran ke AWS Akun lain, seperti yang dijelaskan dalam Membuat Peran untuk Mendelegasikan Izin ke pengguna. IAM Secara opsional, pilih Memerlukan MFA. MFARequire mengkonfigurasi kondisi yang sesuai dalam hubungan kepercayaan, seperti yang dijelaskan dalamMenggunakan otentikasi multi-faktor.

Jika Anda menggunakan ID eksternal untuk memberikan kontrol tambahan atas siapa yang dapat menggunakan peran di seluruh akun, Anda juga harus menambahkan external_id parameter ke profil peran. Anda biasanya menggunakan ini hanya ketika akun lain dikendalikan oleh seseorang di luar perusahaan atau organisasi Anda.

[profile crossaccountrole]
role_arn = arn:aws:iam::234567890123:role/SomeRole
source_profile = default
mfa_serial = arn:aws:iam::123456789012:mfa/saanvi
external_id = 123456

Menentukan nama sesi peran untuk audit yang lebih mudah

Ketika banyak individu berbagi peran, audit menjadi lebih dari sebuah tantangan. Anda ingin mengaitkan setiap operasi yang dipanggil dengan individu yang memanggil tindakan. Namun, ketika individu menggunakan peran, asumsi peran oleh individu adalah tindakan terpisah dari pemanggilan operasi, dan Anda harus mengkorelasikan keduanya secara manual.

Anda dapat menyederhanakan ini dengan menentukan nama sesi peran unik saat pengguna mengambil peran. Anda melakukan ini dengan menambahkan role_session_name parameter ke setiap profil bernama dalam config file yang menentukan peran. role_session_nameNilai diteruskan ke AssumeRole operasi dan menjadi bagian ARN dari sesi peran. Ini juga termasuk dalam AWS CloudTrail log untuk semua operasi yang dicatat.

Misalnya, Anda dapat membuat profil berbasis peran sebagai berikut.

[profile namedsessionrole]
role_arn = arn:aws:iam::234567890123:role/SomeRole
source_profile = default
role_session_name = Session_Maria_Garcia

Ini menghasilkan sesi peran yang memiliki yang berikutARN.

arn:aws:iam::234567890123:assumed-role/SomeRole/Session_Maria_Garcia

Selain itu, semua AWS CloudTrail log menyertakan nama sesi peran dalam informasi yang diambil untuk setiap operasi.

Asumsikan peran dengan identitas web

Anda dapat mengonfigurasi profil untuk menunjukkan bahwa AWS CLI harus mengambil peran menggunakan federasi identitas web dan Open ID Connect (OIDC). Saat Anda menentukan ini di profil, secara AWS CLI otomatis membuat AWS STS AssumeRoleWithWebIdentity panggilan yang sesuai untuk Anda.

catatan

Saat Anda menentukan profil yang menggunakan IAM peran, akan AWS CLI membuat panggilan yang sesuai untuk mengambil kredensi sementara. Kredensi ini disimpan di. ~/.aws/cli/cache AWS CLI Perintah selanjutnya yang menentukan profil yang sama menggunakan kredenal sementara yang di-cache hingga kedaluwarsa. Pada saat itu, secara AWS CLI otomatis menyegarkan kredensialnya.

Untuk mengambil dan menggunakan kredenal sementara menggunakan federasi identitas web, Anda dapat menentukan nilai konfigurasi berikut di profil bersama.

role_arn

Menentukan ARN peran untuk mengasumsikan.

web_identity_token_file

Menentukan path ke file yang berisi token akses OAuth 2.0 atau token OpenID Connect ID yang disediakan oleh penyedia identitas. AWS CLI Memuat file ini dan meneruskan kontennya sebagai WebIdentityToken argumen AssumeRoleWithWebIdentity operasi.

role_session_name

Menentukan nama opsional diterapkan untuk sesi assume-role ini.

Berikut ini adalah contoh dari jumlah minimal konfigurasi yang diperlukan untuk mengkonfigurasi peran asumsi dengan profil identitas web.

# In ~/.aws/config

[profile web-identity]
role_arn=arn:aws:iam:123456789012:role/RoleNameToAssume
web_identity_token_file=/path/to/a/token

Anda juga dapat menyediakan konfigurasi ini dengan menggunakan variabel lingkungan.

AWS_ROLE_ARN

ARNPeran yang harus diasumsikan.

AWS_WEB_IDENTITY_TOKEN_FILE

Jalur ke file token identitas web.

AWS_ROLE_SESSION_NAME

Nama yang diterapkan pada sesi peran asumsi ini.

catatan

Variabel lingkungan ini saat ini hanya berlaku untuk peran asumsi dengan penyedia identitas web. Mereka tidak berlaku untuk konfigurasi penyedia peran asumsi umum.

Membersihkan kredenal yang di-cache

Saat Anda menggunakan peran, kredensi sementara akan disimpan di AWS CLI cache secara lokal hingga mereka kedaluwarsa. Lain kali Anda mencoba menggunakannya, AWS CLI upaya untuk memperbaruinya atas nama Anda.

Jika kredensi sementara peran Anda dicabut, kredensialnya tidak diperbarui secara otomatis, dan upaya untuk menggunakannya gagal. Namun, Anda dapat menghapus cache untuk memaksa AWS CLI untuk mengambil kredenal baru.

Linux atau macOS

$ rm -r ~/.aws/cli/cache

Windows

C:\> del /s /q %UserProfile%\.aws\cli\cache