認証情報プロバイダー

v2: Node.js の CredentialProviderChain は、ソースからの認証情報を次の順序で解決します。

上記の認証情報プロバイダーの 1 つが AWS 認証情報の解決に失敗した場合、有効な認証情報が解決されるまでチェーンは次のプロバイダーにフォールバックし、すべてのプロバイダーが失敗するとチェーンはエラーをスローします。

ブラウザおよび React Native ランタイムでは、認証情報チェーンは空であるため、認証情報を明示的に設定する必要があります。

v3: defaultProvider。認証情報のソースとフォールバック順序は v3 でも変更されません。また、AWS IAM アイデンティティセンター 認証情報もサポートしています。

v2: ChainableTemporaryCredentials は AWS.STS から取得した一時的な認証情報を表します。追加のパラメータがない場合、認証情報は AWS.STS.getSessionToken() オペレーションから取得されます。IAM ロールが指定されている場合、AWS.STS.assumeRole() オペレーションは代わりにロールの認証情報を取得するために使用されます。AWS.ChainableTemporaryCredentials は masterCredentials や認証情報の更新の処理方法が AWS.TemporaryCredentials とは異なります。AWS.ChainableTemporaryCredentials は、STS 認証情報のチェーンをサポートするためにユーザーが渡した masterCredentials を使用して期限切れの認証情報を更新します。ただし、AWS.TemporaryCredentials はインスタンス化の際に masterCredentials を再帰的に解決するため、中間の一時的な認証情報を必要とする、認証情報の更新機能は除外されます。

元の TemporaryCredentials は v2 で ChainableTemporaryCredentials に置き換えられ、非推奨になりました。

v3: fromTemporaryCredentials。@aws-sdk/credential-providers パッケージから fromTemporaryCredentials() を呼び出すことができます。例を示します。

import { FooClient } from "@aws-sdk/client-foo";
import { fromTemporaryCredentials } from "@aws-sdk/credential-providers"; // ES6 import
// const { FooClient } = require("@aws-sdk/client-foo");
// const { fromTemporaryCredentials } = require("@aws-sdk/credential-providers"); // CommonJS import

const sourceCredentials = {
  // A credential can be a credential object or an async function that returns a credential object
};
const client = new FooClient({
  credentials: fromTemporaryCredentials({
    masterCredentials: sourceCredentials,
    params: { RoleArn },
  }),
});

v2: CognitoIdentityCredentials Amazon Cognito ID サービスを使用して STS ウェブ ID フェデレーションから取得した認証情報を表します。

v3: Cognito Identity Credential Provider @aws/credential-providers パッケージには 2 つの認証情報プロバイダー関数が用意されています。1 つ目の fromCognitoIdentity はアイデンティティ ID を受け取り、cognitoIdentity:GetCredentialsForIdentity を呼び出し、もう 1 つの fromCognitoIdentityPool は アイデンティティプール ID を受け取り、最初の呼び出しで cognitoIdentity:GetId を呼び出した後、fromCognitoIdentity を呼び出します。2 回目以降の呼び出しでは GetId は再び呼び出されません。

このプロバイダーは、「Amazon Cognito デベロッパーガイド」で説明されている「簡易フロー」を実装します。cognito:GetOpenIdToken を呼び出した後、sts:AssumeRoleWithWebIdentity を呼び出す「クラシックフロー」はサポートされていません。必要な場合は、「機能リクエスト」でお知らせください。

// fromCognitoIdentityPool example
import { fromCognitoIdentityPool } from "@aws-sdk/credential-providers"; // ES6 import
// const { fromCognitoIdentityPool } = require("@aws-sdk/credential-providers"); // CommonJS import

const client = new FooClient({
  region: "us-east-1",
  credentials: fromCognitoIdentityPool({
    clientConfig: cognitoIdentityClientConfig, // Optional
    identityPoolId: "us-east-1:1699ebc0-7900-4099-b910-2df94f52a030",
    customRoleArn: "arn:aws:iam::1234567890:role/MYAPP-CognitoIdentity", // Optional
    logins: {
      // Optional
      "graph.facebook.com": "FBTOKEN",
      "www.amazon.com": "AMAZONTOKEN",
      "api.twitter.com": "TWITTERTOKEN",
    },
  }),
});

// fromCognitoIdentity example
import { fromCognitoIdentity } from "@aws-sdk/credential-providers"; // ES6 import
// const { fromCognitoIdentity } = require("@aws-sdk/credential-provider-cognito-identity"); // CommonJS import

const client = new FooClient({
  region: "us-east-1",
  credentials: fromCognitoIdentity({
    clientConfig: cognitoIdentityClientConfig, // Optional
    identityId: "us-east-1:128d0a74-c82f-4553-916d-90053e4a8b0f",
    customRoleArn: "arn:aws:iam::1234567890:role/MYAPP-CognitoIdentity", // Optional
    logins: {
      // Optional
      "graph.facebook.com": "FBTOKEN",
      "www.amazon.com": "AMAZONTOKEN",
      "api.twitter.com": "TWITTERTOKEN",
    },
  }),
});

v2: EC2MetadataCredentials

v3: fromInstanceMetadata。Amazon EC2 インスタンスメタデータサービスから認証情報を取得する認証情報プロバイダーを作成します。

import { fromInstanceMetadata } from "@aws-sdk/credential-providers"; // ES6 import
// const { fromInstanceMetadata } = require("@aws-sdk/credential-providers"); // CommonJS import

const client = new FooClient({
  credentials: fromInstanceMetadata({
    maxRetries: 3, // Optional
    timeout: 0, // Optional
  }),
});

v2: ECSCredentials または RemoteCredentials

v3: fromContainerMetadata。Amazon ECS コンテナメタデータサービスから認証情報を取得する認証情報プロバイダーを作成します。

import { fromContainerMetadata } from "@aws-sdk/credential-providers"; // ES6 import

const client = new FooClient({
  credentials: fromContainerMetadata({
    maxRetries: 3, // Optional
    timeout: 0, // Optional
  }),
});

v2: FileSystemCredentials。ディスク上の JSON ファイルからの認証情報を表します。

v3: 廃止。JSON ファイルを明示的に読み取り、クライアントに提供します。必要な場合は、「機能リクエスト」でお知らせください。

v2: SAMLCredentials SAML サポートから取得した認証情報を表します。

v3: 利用できません。必要な場合は、「機能リクエスト」でお知らせください。

v2: SharedIniFileCredentials

v3: fromIni

import { fromIni } from "@aws-sdk/credential-providers";
// const { fromIni } from("@aws-sdk/credential-providers");

const client = new FooClient({
  credentials: fromIni({
    configFilepath: "~/.aws/config", // Optional
    filepath: "~/.aws/credentials", // Optional
    mfaCodeProvider: async (mfaSerial) => {
      // implement a pop-up asking for MFA code
      return "some_code";
    }, // Optional
    profile: "default", // Optional
    clientConfig: { region }, // Optional
  }),
});

v2: TokenFileWebIdentityCredentials

v3: fromTokenFile

import { fromTokenFile } from "@aws-sdk/credential-providers"; // ES6 import
// const { fromTokenFile } from("@aws-sdk/credential-providers"); // CommonJS import

const client = new FooClient({
  credentials: fromTokenFile({
    // Optional. If skipped, read from `AWS_ROLE_ARN` environmental variable
    roleArn: "arn:xxxx",
    // Optional. If skipped, read from `AWS_ROLE_SESSION_NAME` environmental variable
    roleSessionName: "session:a",
    // Optional. STS client config to make the assume role request.
    clientConfig: { region },
  }),
});

v2: WebIdentityCredentials

v3: fromWebToken

import { fromWebToken } from "@aws-sdk/credential-providers"; // ES6 import
// const { fromWebToken } from("@aws-sdk/credential-providers"); // CommonJS import

const client = new FooClient({
  credentials: fromWebToken({
    // Optional. If skipped, read from `AWS_ROLE_ARN` environmental variable
    roleArn: "arn:xxxx",
    // Optional. If skipped, read from `AWS_ROLE_SESSION_NAME` environmental variable
    roleSessionName: "session:a",
    // Optional. STS client config to make the assume role request.
    clientConfig: { region },
  }),
});