我可以在boto3使用的. aws/凭据中用IAM角色替换aws键吗？

Question

我尝试将该角色用作：

~/.aws/credentials
[default]
role_arn=arn:aws:iam::xxxxxxx:role/yyyy

但我得到了一个错误：

Partial credentials found in assume-role, missing: source_profile or credential_source

因此，IAM的角色似乎无法取代

[default]
aws_access_key_id = AAAAAAAAAAAAAAAAAAAAAAAA
aws_secret_access_key =  BBBBBBBBBBBBBBBBBBBBBBBBBBB

根据http://boto3.readthedocs.io/en/latest/guide/configuration.html

# In ~/.aws/credentials:
[development]
aws_access_key_id=foo
aws_access_key_id=bar

# In ~/.aws/config
[profile crossaccount]
role_arn=arn:aws:iam:...
source_profile=development

我仍然需要使用密钥，这可能会带来安全风险，即使没有在代码中使用

有没有一种方法可以在不使用aws API凭据的情况下使用具有管理员权限的boto3？

所以基本上：

>

#!/usr/bin/env python导入boto3
ec2_client=boto3.client（'ec2'）
def main（）：vpcs=ec2_client.在vpcs['vpcs']中为vpc_信息描述vpcs（）：打印（vpc_info['VpcId']）
如果name==“main”：main（）

我在github上遇到了一个解决此问题的应用程序：

https://github.com/AdRoll/hologram

Answer 1

如果您有一个角色附加到EC2实例，您可以使用：

~/.aws/config

[default]
credential_source=Ec2InstanceMetadata

https://docs.aws.amazon.com/cli/latest/topic/config-vars.html

credential_source—用于获取初始角色调用的凭据的凭据提供程序。此参数不能与源配置文件一起提供。有效值为：

从环境变量中提取源凭据。

Ec2InstanceMetadata将EC2实例角色用作源凭据。

使用ECS容器凭据作为源凭据。