Как вызывать AWS API используя временные credentials?

Question

[Вадим]

Доброе время суток,

вызываю aws cli функцию
aws sts assume-role --role-arn arn:aws:iam::123456789012:role/OrganizationAccountAccessRole --role-session-name mini-admin

Она возвращает временные security credentials, включая AccessKeyId, SecretAccessKey и SessionToken

можно ли как-то все остальные API calls делать от имени этого временной сессии? Как например мне вызвать
aws ec2 describe-instances - используя credentials полученные до этого. Или надо их вписывать в файл и оттуда доставать? В boto3 это довольно просто, а как сделать такое в bash'e и amazon cli?

Comments

[Вадим]

Хорошо, а как вызывать потом aws ec2 describe-instances от другого профайла, - есть что-то такое aws ec2 describe-instances --profile temporaryuser ??

Кроме того, профайл надо добавить вручную в файле ~/.aws/config ?

[Иван Шумов]

не пиши коммент как ответ - его так никто не найдет

Answer 1

[Евгений Хлебников]

https://docs.aws.amazon.com/en_us/cli/latest/userg...
Вы получаете креды.
Вам нужно положить их в соответствующие переменные окружения.
Далее следующая команда AWS CLI будет использовать их.

Comments

[Иван Шумов]

любопытно, а какой у кого тогда приоритет - у конфига или переменных окружения?)

[Евгений Хлебников]

переменных окружения, там же написано )

[Иван Шумов]

Евгений, я не смотрел прицельно) но спасибо. Просто сейчас готовлюсь к очередной сертификации и в голове и так много всего чтобы еще один док докидывать)

[Вадим]

Евгений,

вы имеете ввиду эти 3 переменные:
AWS_ACCESS_KEY_ID
AWS_SECRET_ACCESS_KEY
AWS_SESSION_TOKEN

дело в том, что первые две у меня уже заняты данными основного пользователя. Их нужно/можно временно переопределить?

спасибо,
Вадим

[Евгений Хлебников]

Переменные окружения это не совсем конфигурационный файл - они живут в сессии.
Ваша сессия в консоли живет до ее закрытия или реинициализации.
Таким образом, если вы где-то засетили эти переменные в конфиге (например через aws configure - вам же от какого то пользователя надо делать STS) то эти переменные перекроют действие дефолтных только на время жизни конкретно этой сессии.
Если же вам надо делать множественные STS для разных ролей в одном скрипте то вот например как можно это сделать в bash (никогда этим не пользовался, это предположение)

#!/bin/bash
текст вашего скрипта
текст STS 
/bin/bash -c "EXPORT AWS_ACCESS_KEY_ID=тот самый ключ;EXPORT другие перменные; aws ec2 describe-intances ....."
другой код с дефолтными кредами

или же если делать все в одной сессии то

#!/bin/bash
текст скрипта
текст STS
EXPORT AWS_ACCESS_KEY_ID=текст ключа
EXPORT ...
EXPORT ...
aws ec2 describe-instances .....
source ~/.bashrc
другой STS
EXPORT ......
aws ec2 describe-images ...

Answer 2

[Вадим]

А вот и скриптик ))

#!/bin/bash

#12-digit number after iam:: is an account ID of the child organization account
full_session_data=$(aws sts assume-role --role-arn arn:aws:iam::123456789012:role/OrganizationAccountAccessRole --duration-seconds 900 --role-session-name mini-admin --query "Credentials" --output json | tr -d '{' | tr -d '}' | sed 's/ //g' | tr -d '\n')
AccessKeyId=$(echo $full_session_data | cut -d, -f1 | awk -F'":"' '{print $2}' | tr -d '"')
SecretAccessKey=$(echo $full_session_data | cut -d, -f2 | awk -F'":"' '{print $2}' | tr -d '"')
SessionToken=$(echo $full_session_data | cut -d, -f3 | awk -F'":"' '{print $2}' | tr -d '"')

echo $AccessKeyId
echo $SecretAccessKey
echo $SessionToken

export AWS_ACCESS_KEY_ID=$AccessKeyId
export AWS_SECRET_ACCESS_KEY=$SecretAccessKey
export AWS_SESSION_TOKEN=$SessionToken

#get all the regions to check each one for aws resources
regions=`aws ec2 describe-regions | grep RegionName | grep -o "[[:alnum:]]*\-[[:alnum:]]*\-[[:alnum:]]*" | tr '\n' ',' | sed 's/.$//'`
echo $regions
for eachregion in $(echo $regions | sed "s/,/ /g")
do
echo "for the region of ""$eachregion"" we have the following VPCs:"
aws ec2 describe-vpcs --region $eachregion | grep "VpcId"
done # end of instances cycle / for all regions

Comments

[Евгений Хлебников]

совет 1:
освойте параметр query в awscli - он уменьшит количество выдаваемой информации
совет 2:
используйте в большинстве случаев формат вывода json - в 90% легче парсить. jq и все такое
Совет 3, очень субъективный:
В некоторых случаях удобно использовать формат text вместо json и парсить через awk
например у меня в скриптах автоматизации есть такой случай:

aws ec2 describe-addresses --public-ips --output text --query "Addresses[].[InstanceId,AssociationId,AllocationId]" <public_ip_address_variable>

Из вывода этой команды очень легко и просто парсить InstanceID:
.... | awk '{print $1}'

Как и чем парсить - дело привычки и опыта, поэтому субъективно )

Answer 3

[Иван Шумов]

если ты делаешь это из консоли то что тебе мешает добавить еще один profile для aws cli? отличный вариант, только надо уметь в bash scripting

Comments

[Иван Шумов]

в дополнение - любая команда может быть вызвана в aws cli с --profile, а как уж добавлять профиль можешь и сам разобраться