Rolle als Anmeldeinformationsanbieter übernehmen

Konfigurieren Sie diese Funktion mithilfe der folgenden Optionen:

credential_source- Einstellung für gemeinsam genutzte AWS config Dateien

Wird in Amazon EC2-Instances oder Amazon Elastic Container Service-Containern verwendet, um anzugeben, wo das SDK oder Tool Anmeldeinformationen finden kann, die die Berechtigung haben, die Rolle zu übernehmen, die Sie mit dem role_arn Parameter angeben.

Standardwert: Keiner

Zulässige Werte:

• Umgebung — Gibt an, dass das SDK oder Tool Quellanmeldeinformationen aus den Umgebungsvariablen AWS_ACCESS_KEY_ID und abrufen soll AWS_SECRET_ACCESS_KEY.

• Ec2InstanceMetadata— Gibt an, dass das SDK oder Tool die dem EC2-Instance-Profil zugeordnete IAM-Rolle verwenden soll, um Quellanmeldeinformationen abzurufen.

• EcsContainer— Gibt an, dass das SDK oder Tool die an den Amazon ECS-Container angehängte IAM-Rolle oder die an den Amazon EKS-Container angehängte IAM-Rolle zum Abrufen der Quellanmeldeinformationen verwenden soll.

Sie können credential_source und source_profile nicht im selben Profil angeben.

Beispiel für die Einstellung in einer config Datei, um anzugeben, dass die Anmeldeinformationen von Amazon EC2 bezogen werden sollen:

credential_source = Ec2InstanceMetadata
role_arn = arn:aws:iam::123456789012:role/my-role-name

duration_seconds- Einstellung für gemeinsam genutzte AWS config Dateien

Gibt die maximale Dauer der Rollensitzung in Sekunden an.

Diese Einstellung gilt nur, wenn das Profil angibt, dass eine Rolle übernommen werden soll.

Standardwert: 3600 Sekunden (eine Stunde)

Gültige Werte: Der Wert kann zwischen 900 Sekunden (15 Minuten) und der für die Rolle konfigurierten Einstellung für die maximale Sitzungsdauer liegen (maximal 43200 Sekunden oder 12 Stunden). Weitere Informationen finden Sie im IAM-Benutzerhandbuch unter Einstellung für die maximale Sitzungsdauer für eine Rolle https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use.html#id_roles_use_view-role-max-session anzeigen.

Beispiel für die Einstellung in einer config Datei:

duration_seconds = 43200

external_id- Einstellung für gemeinsam genutzte AWS config Dateien

Gibt eine eindeutige Kennung an, die von Dritten verwendet wird, um eine Rolle in den Konten ihrer Kunden zu übernehmen.

Diese Einstellung gilt nur, wenn das Profil angibt, eine Rolle zu übernehmen, und die Vertrauensrichtlinie für die Rolle einen Wert für erfordertExternalId. Der Wert entspricht dem ExternalId Parameter, der an den AssumeRole Vorgang übergeben wird, wenn das Profil eine Rolle angibt.

Standardwert: Keiner.

Gültige Werte: Weitere Informationen finden Sie im IAM-Benutzerhandbuch unter So verwenden Sie eine externe ID, um Dritten Zugriff auf Ihre AWS Ressourcen zu gewähren.

Beispiel für die Einstellung in einer config Datei:

external_id = unique_value_assigned_by_3rd_party

mfa_serial- Einstellung für gemeinsam genutzte AWS config Dateien

Gibt die Identifikation oder Seriennummer eines Geräts mit mehrstufiger Authentifizierung (MFA) an, das der Benutzer verwenden muss, wenn er eine Rolle übernimmt.

Erforderlich, wenn eine Rolle übernommen wird, bei der die Vertrauensrichtlinie für diese Rolle eine Bedingung enthält, die eine MFA-Authentifizierung erfordert. Weitere Informationen zu MFA finden Sie unter AWS Multi-factor Authentifizierung in IAM im IAM-Benutzerhandbuch.

Standardwert: Keiner.

Gültige Werte: Der Wert kann entweder eine Seriennummer für ein Hardwaregerät (z. B.GAHT12345678) oder ein Amazon-Ressourcenname (ARN) für ein virtuelles MFA-Gerät sein. Das ARN-Format ist: arn:aws:iam::account-id:mfa/mfa-device-name

Beispiel für die Einstellung in einer config Datei:

In diesem Beispiel wird davon ausgegangen, dass ein virtuelles MFA-Gerät mit dem NamenMyMFADevice, für das Konto erstellt und für einen Benutzer aktiviert wurde.

mfa_serial = arn:aws:iam::123456789012:mfa/MyMFADevice

role_arn- Einstellung für gemeinsam genutzte AWS config Dateien

AWS_ROLE_ARN- Umgebungsvariable

aws.roleArn- JVM-Systemeigenschaft: nur Java/Kotlin

Gibt den Amazon-Ressourcennamen (ARN) einer IAM-Rolle an, die Sie für die Ausführung von Vorgängen verwenden möchten, die mit diesem Profil angefordert werden.

Standardwert: Keiner.

Gültige Werte: Der Wert muss der ARN einer IAM-Rolle sein und wie folgt formatiert sein: arn:aws:iam::account-id:role/role-name

Darüber hinaus müssen Sie eine der folgenden Einstellungen angeben:

• source_profile— Um ein anderes Profil zu identifizieren, das verwendet werden soll, um Anmeldeinformationen zu finden, die berechtigt sind, die Rolle in diesem Profil zu übernehmen.

• credential_source— Um entweder Anmeldeinformationen zu verwenden, die durch die aktuellen Umgebungsvariablen identifiziert wurden, oder Anmeldeinformationen, die an ein Amazon EC2-Instance-Profil angehängt sind, oder um eine Amazon ECS-Container-Instance.

• web_identity_token_file— Um öffentliche Identitätsanbieter oder einen OpenID Connect (OIDC) -kompatiblen Identitätsanbieter für Benutzer zu verwenden, die in einer Mobil- oder Webanwendung authentifiziert wurden.

role_session_name— Einstellung für gemeinsam genutzte Dateien AWS config

AWS_ROLE_SESSION_NAME- Umgebungsvariable

aws.roleSessionName- JVM-Systemeigenschaft: nur Java/Kotlin

Gibt den Namen an, der der Rollensitzung zugeordnet werden soll. Dieser Name erscheint in AWS CloudTrail Protokollen für Einträge, die mit dieser Sitzung verknüpft sind, was bei der Überwachung nützlich sein kann. Einzelheiten finden Sie unter dem Element CloudTrail userIdentity im AWS CloudTrail Benutzerhandbuch.

Standardwert: Ein optionaler Parameter. Wenn Sie diesen Wert nicht angeben, wird automatisch ein Sitzungsname generiert, wenn das Profil eine Rolle übernimmt.

Gültige Werte: Wird für den RoleSessionName Parameter bereitgestellt, wenn die AWS CLI AWS OR-API die AssumeRole Operation (oder Operationen wie die AssumeRoleWithWebIdentity Operation) in Ihrem Namen aufruft. Der Wert wird Teil der angenommenen Benutzerrolle Amazon Resource Name (ARN), die Sie abfragen können, und wird als Teil der CloudTrail Protokolleinträge für Operationen angezeigt, die von diesem Profil aufgerufen werden.

arn:aws:sts::123456789012:assumed-role/my-role-name/my-role_session_name.

Beispiel für die Einstellung in einer config Datei:

role_session_name = my-role-session-name

source_profile- Einstellung für gemeinsam genutzte AWS config Dateien

Gibt ein anderes Profil an, dessen Anmeldeinformationen verwendet werden, um die in der role_arn Einstellung im ursprünglichen Profil angegebene Rolle zu übernehmen. Informationen zur Verwendung von Profilen in den gemeinsam genutzten AWS config credentials AND-Dateien finden Sie unterGeteilte credentials Dateien config und Dateien.

Wenn Sie ein Profil angeben, bei dem es sich auch um ein Rollenübernahmeprofil handelt, wird jede Rolle der Reihe nach übernommen, um die Anmeldeinformationen vollständig aufzulösen. Diese Kette wird beendet, wenn das SDK auf ein Profil mit Anmeldeinformationen stößt. Die Rollenverkettung begrenzt Ihre AWS CLI oder AWS API-Rollensitzung auf maximal eine Stunde und kann nicht verlängert werden. Weitere Informationen finden Sie im IAM-Benutzerhandbuch unter Begriffe und Konzepte zu Rollen.

Standardwert: Keiner.

Gültige Werte: Eine Textzeichenfolge, die aus dem Namen eines Profils besteht, das in den credentials Dateien config und definiert ist. Sie müssen auch einen Wert für role_arn im aktuellen Profil angeben.

Sie können credential_source und source_profile nicht im selben Profil angeben.

Beispiel für die Einstellung in einer Konfigurationsdatei:

[profile A]
source_profile = B
role_arn =  arn:aws:iam::123456789012:role/RoleA
role_session_name = ProfileARoleSession
                
[profile B]
credential_process = ./aws_signing_helper credential-process --certificate /path/to/certificate --private-key /path/to/private-key --trust-anchor-arn arn:aws:rolesanywhere:region:account:trust-anchor/TA_ID --profile-arn arn:aws:rolesanywhere:region:account:profile/PROFILE_ID --role-arn arn:aws:iam::account:role/ROLE_ID

Im vorherigen Beispiel weist das A Profil das SDK oder Tool an, automatisch nach den Anmeldeinformationen für das verknüpfte B Profil zu suchen. In diesem Fall verwendet das B Profil das Hilfsprogramm für Anmeldeinformationen, das von bereitgestellt wirdAuthentifizierung AWS SDKs und Tools mit IAM Roles Anywhere, um Anmeldeinformationen für das AWS SDK abzurufen. Diese temporären Anmeldeinformationen werden dann von Ihrem Code für den Zugriff auf AWS Ressourcen verwendet. Der angegebenen Rolle müssen IAM-Berechtigungsrichtlinien zugeordnet sein, die die Ausführung des angeforderten Codes ermöglichen, z. B. der Befehl oder die API-Methode. AWS-Service Bei jeder Aktion, die von einem Profil A ausgeführt wird, ist der Name der Rollensitzung in den CloudTrail Protokollen enthalten.

Als zweites Beispiel für die Rollenverkettung kann die folgende Konfiguration verwendet werden, wenn Sie eine Anwendung auf einer Amazon Elastic Compute Cloud-Instance haben und diese Anwendung eine andere Rolle übernehmen soll.

[profile A]
source_profile = B
role_arn =  arn:aws:iam::123456789012:role/RoleA
role_session_name = ProfileARoleSession
                
[profile B]
credential_source=Ec2InstanceMetadata

Profile verwendet A die Anmeldeinformationen der Amazon EC2-Instance, um die angegebene Rolle zu übernehmen, und erneuert die Anmeldeinformationen automatisch.

web_identity_token_file- Einstellung für gemeinsam genutzte AWS config Dateien

AWS_WEB_IDENTITY_TOKEN_FILE- Umgebungsvariable

aws.webIdentityTokenFile- JVM-Systemeigenschaft: nur Java/Kotlin

Gibt den Pfad zu einer Datei an, die ein Zugriffstoken von einem unterstützten OAuth 2.0-Anbieter oder OpenID Connect ID-Identitätsanbieter enthält.

Diese Einstellung ermöglicht die Authentifizierung mithilfe von Anbietern von Web-Identitätsverbänden wie Google , Facebook und Amazon und vielen anderen. Das SDK oder das Entwicklertool lädt den Inhalt dieser Datei und übergibt ihn als WebIdentityToken Argument, wenn es den AssumeRoleWithWebIdentity Vorgang in Ihrem Namen aufruft.

Standardwert: Keiner.

Gültige Werte: Dieser Wert muss ein Pfad und ein Dateiname sein. Die Datei muss ein OAuth 2.0-Zugriffstoken oder ein OpenID Connect-Token enthalten, das Ihnen von einem Identitätsanbieter zur Verfügung gestellt wurde. Relative Pfade werden als relativ zum Arbeitsverzeichnis des Prozesses behandelt.