Настройка учетных данных CLI AWS без секретных ключей и ключей доступа

Question

Я работал на прошлой неделе, используя ключи доступа и секретные ключи, которые я сгенерировал для подключения REST API к DynamoDB и AWS CLI, сегодня я только что получил от оффшорной команды, что я не должен использовать ключи доступа и секретные ключи вообще , что я должен использовать роли IAM, и я искал, как это сделать, но я застрял, у кого-нибудь здесь когда-либо была такая же проблема?

Answer 1

Существуют методы получения сеансовых ключей STS (например, когда вы берете на себя роль) из AWS. Одним из решений является Hashicorp Vault, но для этого необходимо, чтобы инфраструктура была настроена для этого. Существуют и другие методы, которые используют сеанс webui для генерации токена STS.

Спросите свою оффшорную команду, какой метод следует использовать для получения токена сеанса доступа на основе ролей. Вы, вероятно, привыкли к клиенту, спрашивая идентификатор ключа доступа и секретный ключ. Ключ сеанса будет состоять из трех частей вместо двух. Идентификатор ключа доступа к сеансу будет начинаться с ASIA вместо AKIA;секретный ключ доступа к сеансу совпадает со своим статическим аналогом;маркер сеанса - очень длинная строка.

Самый простой способ установить это - отредактировать файл учетных данных в .aws / credentials. Если вы используете aws configure, вам не будет предложено установить маркер сеанса. Вы можете использовать aws configure set для каждой из частей, если в вашем файле учетных данных еще не настроены профили, вы можете просто отредактировать профиль учетных данных по умолчанию.

source: https://docs.aws.amazon.com/cli/latest/reference/configure/index.html

Answer 2

Суть, которую они (правильно) делают, заключается в том, что ваше приложение не должно включать явные учетные данные.

Вместо этого приложение должно быть настроено в Elastic Beanstalk с ролью IAM. Когда приложение запускается и использует AWS SDK, SDK сможет извлекать временные учетные данные из среды Beanstalk, в которой оно работает.

Подробнее об этом можно узнать на Управление профилями Elastic Beanstalk Instance .

Answer 3

Если все было сделано так, как вы сказали это в вопросе, а также в своем комментарии к @stdunbar, это невозможно , то это и секретные ключи, и ключи доступа. не думаю, что ваша оффшорная команда знает, о чем они говорят