Assuma o perfil de provedor de credenciais

Configure essa funcionalidade usando o seguinte:

credential_source- configuração de AWS config arquivo compartilhado

Usado em EC2 instâncias da Amazon ou contêineres do Amazon Elastic Container Service para especificar onde o SDK ou a ferramenta podem encontrar credenciais que tenham permissão para assumir a função especificada com o role_arn parâmetro.

Valor padrão: nenhum

Valores válidos:

• Ambiente: especifica que o SDK ou a ferramenta deve recuperar credenciais de origem de variáveis de ambiente AWS_ACCESS_KEY_ID e AWS_SECRET_ACCESS_KEY.

• Ec2 InstanceMetadata — Especifica que o SDK ou a ferramenta deve usar a função do IAM anexada ao perfil da EC2 instância para obter as credenciais de origem.

• EcsContainer— Especifica que o SDK ou a ferramenta deve usar a função do IAM anexada ao contêiner do Amazon ECS ou a função do IAM anexada ao contêiner do Amazon EKS para obter as credenciais de origem.

Não é possível especificar credential_source e source_profile no mesmo perfil.

Exemplo de configuração em um config arquivo para indicar que as credenciais devem ser provenientes da Amazon: EC2

credential_source = Ec2InstanceMetadata
role_arn = arn:aws:iam::123456789012:role/my-role-name

duration_seconds- configuração de AWS config arquivo compartilhado

Especifica a duração máxima da sessão da função, em segundos.

Esta configuração se aplica somente quando o perfil especifica assumir uma função.

Valor padrão: 3.600 segundos (uma hora)

Valores válidos: o valor pode variar de 900 segundos (15 minutos) até o valor configurado de duração máxima da sessão para o perfil (que pode ser até 43200, ou 12 horas). Para obter mais informações, consulte Exibir a configuração de duração máxima da sessão para um perfil no Guia do usuário do IAM.

Exemplo de configuração em um arquivo config:

duration_seconds = 43200

external_id- configuração de AWS config arquivo compartilhado

Especifica um identificador exclusivo que é usado por terceiros para assumir uma função em suas contas de clientes.

Esta configuração se aplica somente quando o perfil especifica assumir uma função e a política de confiança do perfil exige um valor para ExternalId. O valor é mapeado para o parâmetro ExternalId que é passado para a operação AssumeRole quando o perfil especifica uma função.

Valor padrão: nenhum.

Valores válidos: consulte Como usar uma ID externa ao conceder acesso aos seus AWS recursos a terceiros no Guia do usuário do IAM.

Exemplo de configuração em um arquivo config:

external_id = unique_value_assigned_by_3rd_party

mfa_serial- configuração de AWS config arquivo compartilhado

Especifica a identificação ou o número de série de um dispositivo de autenticação multifator (MFA) que o usuário deve usar ao assumir um perfil.

Obrigatório ao assumir um perfil em que a política de confiança para o perfil inclui uma condição que exige autenticação de MFA. Para obter mais informações sobre a MFA, consulte Autenticação AWS multifator no IAM no Guia do usuário do IAM.

Valor padrão: nenhum.

Valores válidos: o valor pode ser um número de série de um dispositivo de hardware (como GAHT12345678) ou um nome do recurso da Amazon (ARN) de um dispositivo MFA virtual. O formato do ARN é: arn:aws:iam::account-id:mfa/mfa-device-name

Exemplo de configuração em um arquivo config:

Este exemplo pressupõe um dispositivo virtual de MFA, MyMFADevice chamado, que foi criado para a conta e habilitado para um usuário.

mfa_serial = arn:aws:iam::123456789012:mfa/MyMFADevice

role_arn- configuração de AWS config arquivo compartilhado

AWS_ROLE_ARN: variável de ambiente

aws.roleArn- Propriedade do sistema JVM: somente Java/Kotlin

Especifica o nome do recurso da Amazon (ARN) de um perfil do IAM que você deseja usar para realizar operações solicitadas usando esse perfil.

Valor padrão: nenhum.

Valores válidos: o valor deve ser o ARN de um perfil do IAM, formatado da seguinte forma: arn:aws:iam::account-id:role/role-name

Além disso, você também deve especificar uma das seguintes configurações:

• source_profile: identificar outro perfil a ser usado para encontrar credenciais que tenham permissão para assumir a função nesse perfil.

• credential_source— Usar credenciais identificadas pelas variáveis de ambiente atuais ou credenciais anexadas a um perfil de instância da Amazon ou a uma EC2 instância de contêiner do Amazon ECS.

• web_identity_token_file: usar provedores de identidades públicas ou qualquer provedor de identidades compatível com OpenID Connect (OIDC) para usuários que foram autenticados em um aplicativo móvel ou aplicativo web.

role_session_name- configuração de AWS config arquivo compartilhado

AWS_ROLE_SESSION_NAME: variável de ambiente

aws.roleSessionName- Propriedade do sistema JVM: somente Java/Kotlin

Especifica o nome a ser associado à sessão da função. Este nome aparece nos logs do AWS CloudTrail para entradas associadas a esta sessão, que pode ser útil em uma auditoria. Para obter detalhes, consulte o elemento CloudTrail userIdentity no Guia do AWS CloudTrail usuário.

Valor padrão: um parâmetro opcional. Se você não fornecer este valor, um nome de sessão será gerado automaticamente se o perfil assumir uma função.

Valores válidos: fornecidos ao RoleSessionName parâmetro quando a AWS API AWS CLI ou chama a AssumeRole operação (ou operações como a AssumeRoleWithWebIdentity operação) em seu nome. O valor se torna parte da função assumida do usuário Amazon Resource Name (ARN) que você pode consultar e aparece como parte das entradas de CloudTrail registro das operações invocadas por esse perfil.

arn:aws:sts::123456789012:assumed-role/my-role-name/my-role_session_name.

Exemplo de configuração em um arquivo config:

role_session_name = my-role-session-name

source_profile- configuração de AWS config arquivo compartilhado

Especifica outro perfil cujas credenciais são usadas para assumir o perfil especificado pela configuração role_arn no perfil original. Para entender como os perfis são usados no compartilhamento AWS config e nos credentials arquivos, consulteArquivos config e credentials compartilhados.

Se você especificar um perfil que também seja um perfil de assumir função, cada perfil será assumido em ordem sequencial para resolver totalmente as credenciais. Essa cadeia é interrompida quando o SDK encontra um perfil com credenciais. O encadeamento de funções limita sua sessão de função AWS CLI ou de AWS API a no máximo uma hora e não pode ser aumentado. Para obter mais informações, consulte Termos e conceitos de funções no Guia do usuário do IAM.

Valor padrão: nenhum.

Valores válidos: um string de texto que consiste no nome de um perfil definido nos arquivos config e credentials. Você também deve especificar um valor para role_arn no perfil atual.

Não é possível especificar credential_source e source_profile no mesmo perfil.

Exemplo de definição em um arquivo de configuração:

[profile A]
source_profile = B
role_arn =  arn:aws:iam::123456789012:role/RoleA
role_session_name = ProfileARoleSession
                
[profile B]
credential_process = ./aws_signing_helper credential-process --certificate /path/to/certificate --private-key /path/to/private-key --trust-anchor-arn arn:aws:rolesanywhere:region:account:trust-anchor/TA_ID --profile-arn arn:aws:rolesanywhere:region:account:profile/PROFILE_ID --role-arn arn:aws:iam::account:role/ROLE_ID

No exemplo anterior, o A perfil instrui o SDK ou a ferramenta a pesquisar automaticamente as credenciais do perfil vinculadoB. Nesse caso, o B perfil usa a ferramenta auxiliar de credenciais fornecida por Usando o IAM Roles Anywhere para autenticação AWS SDKs e ferramentas para obter credenciais para o SDK. AWS Essas credenciais temporárias são então usadas pelo código para acessar recursos da AWS . O papel especificado deve ter políticas de permissões do IAM anexadas que permitam a execução do código solicitado, como o comando ou o método da API. AWS service (Serviço da AWS) Cada ação realizada pelo perfil A tem o nome da sessão da função incluído nos CloudTrail registros.

Para um segundo exemplo de encadeamento de funções, a configuração a seguir pode ser usada se você tiver um aplicativo em uma instância do Amazon Elastic Compute Cloud e quiser que esse aplicativo assuma outra função.

[profile A]
source_profile = B
role_arn =  arn:aws:iam::123456789012:role/RoleA
role_session_name = ProfileARoleSession
                
[profile B]
credential_source=Ec2InstanceMetadata

O perfil A usará as credenciais da EC2 instância da Amazon para assumir a função especificada e renovará as credenciais automaticamente.

web_identity_token_file- configuração de AWS config arquivo compartilhado

AWS_WEB_IDENTITY_TOKEN_FILE: variável de ambiente

aws.webIdentityTokenFile- Propriedade do sistema JVM: somente Java/Kotlin

Especifica o caminho para um arquivo que contém um token de acesso de um provedor OAuth 2.0 compatível ou provedor de identidade OpenID Connect ID.

Esta configuração permite a autenticação usando provedores de federação de identidade da web, como Google, Facebook e Amazon, entre muitos outros. O SDK ou a ferramenta do desenvolvedor carrega o conteúdo deste arquivo e o transmite como argumento WebIdentityToken quando chama a operação AssumeRoleWithWebIdentity em seu nome.

Valor padrão: nenhum.

Valores válidos: este valor deve ser um nome de caminho e de arquivo. O arquivo deve conter um token de acesso OAuth 2.0 ou um token OpenID Connect fornecido a você por um provedor de identidade. Os caminhos relativos são tratados como relativos ao diretório de trabalho do processo.