Assuma o perfil de provedor de credenciais - AWS SDKs e ferramentas
Assuma as configurações do provedor de credenciais do perfilCompatibilidade com AWS SDKs

As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Assuma o perfil de provedor de credenciais

Assumir um perfil envolve o uso de um conjunto de credenciais temporárias de segurança para acessar AWS recursos aos quais você talvez não tenha acesso de outra forma. Essas credenciais de segurança temporárias consistem em um ID de chave de acesso, uma chave de acesso secreta e um token de segurança.

Para configurar seu SDK ou ferramenta para assumir um perfil, você deve primeiro criar ou identificar um perfil específico a ser assumido. Os perfis do IAM são identificados exclusivamente por um perfil do nome do recurso da Amazon (ARN). Os perfis estabelecem as relações de confiança com uma outra entidade. A entidade confiável que usa a função pode ser uma AWS service (Serviço da AWS), outra Conta da AWS, um provedor de identidade da web ou uma federação OIDC ou SAML.

Depois que perfil do IAM for identificado, se você tiver a confiança desse perfil, poderá configurar seu SDK ou ferramenta para usar as permissões concedidas pelo perfil. Para fazer isso, execute as configurações a seguir.

Para obter orientação sobre como começar a usar essas configurações, consulte este guia Assumir uma função.

Assuma as configurações do provedor de credenciais do perfil

Configure esta funcionalidade usando o seguinte:

credential_source- configuração de AWS config arquivo compartilhado

Usado em instâncias ou contêineres do Amazon EC2 ou Amazon Elastic Container Service para especificar onde o SDK ou ferramenta pode encontrar credenciais que tem permissão para assumir o perfil que você especificar com o parâmetro role_arn.

Valor padrão: nenhum

Valores válidos:

Não é possível especificar credential_source e source_profile no mesmo perfil.

Exemplo de configuração em um config arquivo para indicar que as credenciais devem ser provenientes do Amazon EC2:

credential_source = Ec2InstanceMetadata
role_arn = arn:aws:iam::123456789012:role/my-role-name
duration_seconds- configuração de AWS config arquivo compartilhado

Especifica a duração máxima da sessão da função, em segundos.

Esta configuração se aplica somente quando o perfil especifica assumir uma função.

Valor padrão: 3.600 segundos (uma hora)

Valores válidos: O valor pode variar de 900 segundos (15 minutos) até o valor configurado de duração máxima da sessão para o perfil (que pode ser até 43200, ou 12 horas). Para obter mais informações, consulte Exibir a configuração de duração máxima da sessão para um perfil no Guia do usuário do IAM.

Exemplo de configuração em um arquivo config:

duration_seconds = 43200
external_id- configuração de AWS config arquivo compartilhado

Especifica um identificador exclusivo que é usado por terceiros para assumir uma função em suas contas de clientes.

Esta configuração se aplica somente quando o perfil especifica assumir uma função e a política de confiança do perfil exige um valor para ExternalId. O valor é mapeado para o parâmetro ExternalId que é passado para a operação AssumeRole quando o perfil especifica uma função.

Valor padrão: nenhum.

Valores válidos: consulte Como usar uma ID externa ao conceder acesso aos seus AWS recursos a terceiros no Guia do usuário do IAM.

Exemplo de configuração em um arquivo config:

external_id = unique_value_assigned_by_3rd_party
mfa_serial- configuração de AWS config arquivo compartilhado

Especifica a identificação ou o número de série de um dispositivo de autenticação multifator (MFA) que o usuário deve usar ao assumir um perfil.

Obrigatório ao assumir um perfil em que a política de confiança para o perfil inclui uma condição que exige autenticação de MFA.

Valor padrão: nenhum.

Valores válidos: O valor pode ser um número de série de um dispositivo de hardware (como GAHT12345678) ou um nome do recurso da Amazon (ARN) de um dispositivo MFA virtual. Para obter mais informações sobre MFA, consulte Configuração de acesso à API protegido por MFA no Guia do usuário do IAM.

Exemplo de configuração em um arquivo config:

mfa_serial = arn:aws:iam::123456789012:mfa/my-user-name
role_arn- configuração de AWS config arquivo compartilhado
AWS_IAM_ROLE_ARN - variável de ambiente
aws.roleArn- Propriedade do sistema JVM: somente Java/Kotlin

Especifica o nome do recurso da Amazon (ARN) de um perfil do IAM que você deseja usar para realizar operações solicitadas usando esse perfil.

Valor padrão: nenhum.

Valores válidos: O valor deve ser o ARN de um perfil do IAM, formatado da seguinte forma: arn:aws:iam::account-id:role/role-name

Além disso, você também deve especificar uma das seguintes configurações:

  • source_profile— Identificar outro perfil a ser usado para encontrar credenciais que tenham permissão para assumir a função nesse perfil.

  • credential_source— Usar credenciais identificadas pelas variáveis de ambiente atuais ou credenciais anexadas a um perfil de instância do Amazon EC2 ou a uma instância de contêiner do Amazon ECS.

  • web_identity_token_file— Usar provedores de identidades públicas ou qualquer provedor de identidades compatível com OpenID Connect (OIDC) para usuários que foram autenticados em uma aplicação móvel ou uma aplicação web.

role_session_name- configuração de AWS config arquivo compartilhado
AWS_IAM_ROLE_SESSION_NAME - variável de ambiente
aws.roleSessionName- Propriedade do sistema JVM: somente Java/Kotlin

Especifica o nome a ser associado à sessão da função. Este nome aparece nos logs do AWS CloudTrail para entradas associadas a esta sessão, que pode ser útil em uma auditoria.

Valor padrão: um parâmetro opcional. Se você não fornecer este valor, um nome de sessão será gerado automaticamente se o perfil assumir uma função.

Valores válidos: fornecidos ao RoleSessionName parâmetro quando a AWS API AWS CLI ou chama a AssumeRole operação (ou operações como a AssumeRoleWithWebIdentity operação) em seu nome. O valor se torna parte da função assumida do usuário Amazon Resource Name (ARN) que você pode consultar e aparece como parte das entradas de CloudTrail registro das operações invocadas por esse perfil.

arn:aws:sts::123456789012:assumed-role/my-role-name/my-role_session_name.

Exemplo de configuração em um arquivo config:

role_session_name = my-role-session-name
source_profile- configuração de AWS config arquivo compartilhado

Especifica outro perfil cujas credenciais são usadas para assumir o perfil especificado pela configuração role_arn no perfil original. Para entender como os perfis são usados no compartilhamento AWS config e nos credentials arquivos, consulteArquivos config e credentials compartilhados.

Se você especificar um perfil que também seja um perfil de assumir função, cada perfil será assumido em ordem sequencial para resolver totalmente as credenciais. Essa cadeia é interrompida quando o SDK encontra um perfil com credenciais. O encadeamento de funções limita sua sessão de função AWS CLI ou de AWS API a no máximo uma hora e não pode ser aumentado. Para obter mais informações, consulte Termos e conceitos de funções no Guia do usuário do IAM.

Valor padrão: nenhum.

Valores válidos: um string de texto que consiste no nome de um perfil definido nos arquivos config e credentials. Você também deve especificar um valor para role_arn no perfil atual.

Não é possível especificar credential_source e source_profile no mesmo perfil.

Exemplo de definição em um arquivo de configuração:

[profile A]
source_profile = B
role_arn =  arn:aws:iam::123456789012:role/RoleA
                
[profile B]
aws_access_key_id=AKIAIOSFODNN7EXAMPLE
aws_secret_access_key=wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY
aws_session_token=IQoJb3JpZ2luX2IQoJb3JpZ2luX2IQoJb3JpZ2luX2IQoJb3JpZ2luX2IQoJb3JpZVERYLONGSTRINGEXAMPLE

No exemplo anterior, o perfil A usa as credenciais no perfil B. Quando você especifica que o SDK ou ferramenta deve usar o perfil A, o SDK ou a ferramenta procura automaticamente as credenciais para o perfil B vinculado e as utiliza para solicitar credenciais temporárias para perfis do IAM especificados. O SDK ou a ferramenta usa a AssumeRole operação sts: em segundo plano para fazer isso. Essas credenciais temporárias são então usadas pelo seu código para acessar AWS os recursos. O papel especificado deve ter políticas de permissões do IAM anexadas que permitam a execução do código solicitado, como o comando ou o método da API. AWS service (Serviço da AWS)

web_identity_token_file- configuração de AWS config arquivo compartilhado
AWS_WEB_IDENTITY_TOKEN_FILE - variável de ambiente
aws.webIdentityTokenFile- Propriedade do sistema JVM: somente Java/Kotlin

Especifica o caminho para um arquivo que contém um token de acesso de um provedor OAuth 2.0 suportado ou provedor de identidade de ID OpenID Connect.

Esta configuração permite a autenticação usando provedores de federação de identidade da web, como Google, Facebook e Amazon, entre muitos outros. O SDK ou a ferramenta do desenvolvedor carrega o conteúdo deste arquivo e o transmite como argumento WebIdentityToken quando chama a operação AssumeRoleWithWebIdentity em seu nome.

Valor padrão: nenhum.

Valores válidos: este valor deve ser um nome de caminho e de arquivo. O arquivo deve conter um token de acesso OAuth 2.0 ou token de OpenID Connect fornecido por um provedor de identidade a você. Os caminhos relativos são tratados como relativos ao diretório de trabalho do processo.

Compatibilidade com AWS SDKs

Os SDKs a seguir são compatíveis com os recursos e configurações descritos neste tópico. Quaisquer exceções parciais estão anotadas. Todas as configurações de propriedade do sistema JVM são suportadas pelo AWS SDK for Java e pelo AWS SDK para Kotlin único.

SDK Compatível Notas ou mais informações
AWS CLI v2 Sim
SDK for C++ Parcial credential_source não suportado. duration_seconds não suportado. mfa_serial não suportado.
SDK for Go V2 (1.x) Sim
SDK for Go 1.x (V1) Sim Para usar as configurações do arquivo config compartilhado, você deve ativar o carregamento do arquivo de configuração; consulte Sessões.
SDK para Java 2.x Parcial mfa_serial incompatível. Use AWS_ROLE_ARN em vez deAWS_IAM_ROLE_ARN. Use AWS_ROLE_SESSION_NAME em vez deAWS_IAM_ROLE_SESSION_NAME.
SDK para Java 1.x Parcial mfa_serial incompatível. As propriedades do sistema JVM não são suportadas.
SDK para 3.x JavaScript Sim
SDK para 2.x JavaScript Parcial credential_source incompatível.
SDK for Kotlin Sim Use AWS_ROLE_ARN em vez deAWS_IAM_ROLE_ARN. Use AWS_ROLE_SESSION_NAME em vez deAWS_IAM_ROLE_SESSION_NAME.
SDK for .NET 3.x Sim
SDK for PHP 3.x Sim
SDK for Python (Boto3) Sim
SDK for Ruby 3.x Sim
SDK for Rust Sim
Ferramentas para PowerShell Sim