Se ha publicado la versión 5 (V5) de Herramientas de AWS para PowerShell.

Para empezar a utilizar la nueva versión de Tools para PowerShell, consulte la Guía del usuario de Herramientas de AWS para PowerShell (V5), especialmente el tema sobre la Migración a la V5.

Credenciales compartidas en las Herramientas de AWS para PowerShell

Las Tools for Windows PowerShell son compatibles con el uso del archivo de credenciales compartidas de AWS de forma similar a la AWS CLI y otros SDK de AWS. Las Tools for Windows PowerShell ahora permiten la lectura y la escritura de los perfiles de credenciales basic, session y assume role en el archivo de credenciales de .NET y el archivo de credenciales compartidas de AWS. Esta funcionalidad se permite gracias a un nuevo espacio de nombres Amazon.Runtime.CredentialManagement.

Los nuevos tipos de perfiles y el acceso al archivo de credenciales compartidas de AWS se admiten a través de los siguientes parámetros, que se han añadido a los cmdlets relacionados con credenciales, Initialize-AWSDefaultConfiguration, New-AWSCredential y Set-AWSCredential. En los cmdlets del servicio, puede hacer referencia a sus perfiles añadiendo el parámetro común ., -ProfileName.

Uso de un rol de IAM con las Herramientas de AWS para PowerShell

El archivo de credenciales compartidas de AWS facilita tipos adicionales de acceso. Por ejemplo, puede acceder a los recursos de AWS mediante un rol de IAM en lugar de las credenciales a largo plazo de un usuario de IAM. Para ello, debe tener un perfil estándar que tenga permisos para asumir el rol. Cuando se indica a las Herramientas de AWS para PowerShell que usen un perfil que especificó un rol, las Herramientas de AWS para PowerShell buscan el perfil identificado por el parámetro SourceProfile. Estas credenciales se utilizan para solicitar credenciales temporales para el rol especificado por el parámetro RoleArn. Opcionalmente, puede requerir el uso de un dispositivo de autenticación multifactor (MFA) o un código ExternalId cuando un tercero asuma el rol.

Configuración de perfiles para asumir un rol

El siguiente es un ejemplo que muestra cómo configurar un perfil de origen que permite asumir directamente un rol de IAM.

El primer comando crea un perfil de origen al que hace referencia el perfil de rol. El segundo comando crea el perfil de rol que el rol debe asumir. El tercer comando muestra las credenciales del perfil de rol.

PS > Set-AWSCredential -StoreAs my_source_profile -AccessKey access_key_id -SecretKey secret_key
PS > Set-AWSCredential -StoreAs my_role_profile -SourceProfile my_source_profile -RoleArn arn:aws:iam::123456789012:role/role-i-want-to-assume
PS > Get-AWSCredential -ProfileName my_role_profile

SourceCredentials                  RoleArn                                              RoleSessionName                           Options
-----------------                  -------                                              ---------------                           -------
Amazon.Runtime.BasicAWSCredentials arn:aws:iam::123456789012:role/role-i-want-to-assume aws-dotnet-sdk-session-636238288466144357 Amazon.Runtime.AssumeRoleAWSCredentialsOptions

Para utilizar este perfil de rol con los cmdlets del servicio de Tools for Windows PowerShell, agregue el parámetro común -ProfileName al comando para hacer referencia al perfil de rol. En el ejemplo siguiente se utiliza el perfil de rol definido en el ejemplo anterior para tener acceso al cmdlet Get-S3Bucket. Herramientas de AWS para PowerShell busca las credenciales en my_source_profile, usa esas credenciales para llamar a AssumeRole en nombre del usuario y, a continuación, utiliza esas credenciales de rol temporales para llamar a Get-S3Bucket.

PS > Get-S3Bucket -ProfileName my_role_profile

CreationDate           BucketName
------------           ----------
2/27/2017 8:57:53 AM   4ba3578c-f88f-4d8b-b95f-92a8858dac58-bucket1
2/27/2017 10:44:37 AM  2091a504-66a9-4d69-8981-aaef812a02c3-bucket2

Uso de tipos de perfiles de credenciales

Para establecer un tipo de perfil de credenciales, debe conocer qué parámetros proporcionan la información requerida por el tipo de perfil.

El parámetro común ProfilesLocation

Puede utilizar -ProfileLocation para escribir en el archivo de credenciales compartidas, así como para indicar a un cmdlet que lea el archivo de credenciales. La incorporación del parámetro -ProfileLocation permite controlar si Tools for Windows PowerShell utiliza el archivo de credenciales compartidas o el archivo de credenciales de .NET. En la siguiente tabla, se describe el funcionamiento del parámetro en Tools for Windows PowerShell.

Guardar las credenciales en un archivo de credenciales

Para escribir y guardar credenciales en uno de los dos archivos de credenciales, ejecute el cmdlet Set-AWSCredential. El siguiente ejemplo le muestra cómo hacerlo. El primer comando utiliza Set-AWSCredential con -ProfileLocation para agregar claves de acceso y secretas a un perfil especificado por el parámetro -ProfileName. En la segunda línea, ejecute el cmdlet Get-Content para mostrar el contenido del archivo de credenciales.

PS > Set-AWSCredential -ProfileLocation C:\Users\auser\.aws\credentials -ProfileName basic_profile -AccessKey access_key2 -SecretKey secret_key2
PS > Get-Content C:\Users\auser\.aws\credentials

aws_access_key_id=access_key2
aws_secret_access_key=secret_key2

Visualización de los perfiles de credenciales

Ejecute el cmdlet Get-AWSCredential y añada el parámetro -ListProfileDetail para devolver los tipos de archivos de credenciales y las ubicaciones, y una lista de nombres de perfil.

PS > Get-AWSCredential -ListProfileDetail

ProfileName                     StoreTypeName         ProfileLocation
-----------                     -------------         ---------------
source_profile                  NetSDKCredentialsFile
assume_role_profile             NetSDKCredentialsFile
basic_profile                   SharedCredentialsFile C:\Users\auser\.aws\credentials

Eliminar perfiles de credenciales

Para eliminar perfiles de credenciales, ejecute el nuevo cmdlet Remove-AWSCredentialProfile. Clear-awsCredential está obsoleto, pero aún está disponible por motivos de compatibilidad con versiones anteriores.

Notas importantes

Solo Initialize-AWSDefaultConfiguration, New-AWSCredential y Set-AWSCredential admiten los parámetros para perfiles de rol. No se pueden especificar los parámetros de rol directamente en un comando como Get-S3Bucket -SourceProfile source_profile_name -RoleArn arn:aws:iam::999999999999:role/role_name. Eso no funciona porque los cmdlets del servicio no admiten directamente los parámetros SourceProfile o RoleArn. En su lugar, debe almacenar esos parámetros en un perfil y, a continuación, llamar al comando con el parámetro -ProfileName.