boto3如何找到假设角色提供者

Question

我想问的主要问题是boto3如何找到IAM的角色。

我正在使用AWSEC2实例测试docker容器。我将IAM角色分配给EC2实例，但没有为Docker映像分配任何AWS访问配置。但当我运行Docker映像时，我可以使用分配给IAM角色的AWS资源。

这就是boto3如何在boto3留档中找到凭据。

1. 将凭据作为boto.client（）方法中的参数传递
2. 创建会话对象时将凭据作为参数传递
3. 环境变量
4. 共享凭据文件（~/. aws/凭据）
5. AWS配置文件（~/. aws/config）
6. 假设角色提供者
7. Boto2配置文件（/etc/boto.cfg和~/. boto）
8. 配置了IAM角色的Amazon EC2实例上的实例元数据服务。

我想8是我们找到凭证的方式。但我想知道这是如何运作的。

Answer 1

正如您正确指出的，它是通过实例元数据实现的。

元数据具有已知的格式。因此，如果boto3在步骤1到步骤7中找不到凭据，它将检查元数据。

检查过程相当简单。您可以在实例或自己的程序中自己完成。

例如，要使用curl手动获取凭据，可以执行以下操作：

curl http://169.254.169.254/latest/meta-data/iam/info

哪个将输出（示例）：

{
  "Code" : "Success",
  "LastUpdated" : "2020-06-19T05:08:31Z",
  "InstanceProfileArn" : "arn:aws:iam::xxxxxxx:instance-profile/EC2managementRole",
  "InstanceProfileId" : "AIPAI2GXQHM47WJLA2OTI"
}

请注意，存在实例概要文件的arn。

你也可以使用

curl http://169.254.169.254/latest/meta-data/iam/security-credentials

它提供与实例配置文件关联的角色名：

EC2managementRole

然后，要获得实际的AccessKeyId，SecessKey和Token，您可以在boto3会话中使用它们来获得aws服务的权限，您可以这样做：

curl http://169.254.169.254/latest/meta-data/iam/security-credentials/EC2managementRole

其中：

{
  "Code" : "Success",
  "LastUpdated" : "2020-06-19T05:08:04Z",
  "Type" : "AWS-HMAC",
  "AccessKeyId" : "ASIASZHPM3xxxxxxxxxxxxxxx",
  "SecretAccessKey" : "ri7u3mK+ZMvork0xxxxxxxxxxxxxx",
  "Token" : "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",
  "Expiration" : "2020-06-19T11:43:31Z"
}

或提供与上述相同结果的快捷方式：

curl http://169.254.169.254/latest/meta-data/identity-credentials/ec2/security-credentials/ec2-instance

这里重要的是元数据服务将刷新凭据。因此，当您从元数据中获取凭据时，总是会得到有效的凭据。