Boto3在AWS代码构建中运行时使用什么凭据？

Question

因此，我编写了一组部署脚本，在CodeBuild中运行，并使用Boto3将一些停靠的应用程序部署到ECS。我遇到的问题是，当我想部署到我们单独的生产帐户时。

如果我从开发人员帐户运行CodeBuild项目，但希望在生产帐户中创建资源，我的理解是，我应该在目标帐户中设置一个角色，允许CodeBuild角色承担该角色，然后调用：

sts\u客户机。承担角色（RoleArn=arn\u of a\u role\u设置，RoleSessionName=some\u name）

这将返回访问密钥、密钥和会话令牌。这是有效的，并且返回了我所期望的结果。

这是因为根据这里的留档：http://boto3.readthedocs.io/en/latest/guide/configuration.htmlBoto3应该服从于如果您没有在客户端或会话方法中显式设置这些变量。

但是，当我这样做时，资源仍然在同一个dev帐户中创建。

此外，如果我在脚本尝试设置环境变量之前，在我的buildspec.yml的第一部分调用prendv，则这些AWS密钥/秘密/令牌变量根本不存在。

所以，当它在代码构建中运行时，Boto3从何处获取其凭据？解决方案是将密钥/秘密/令牌传递给每个boto3.client（）调用以完全确定吗？

Answer 1

CodeBuild环境中的凭据来自与CodeBuild项目关联的服务角色。Boto和botocore将自动使用“ContainerProvider”在代码构建环境中获取这些凭据。