如何使用AWS Cognito检索正确的凭据来访问boto3客户端上的AWS秘密管理器-索引池

Question

我正在尝试使用运行python3（kivy）的独立应用程序检索AWS Secret（boto3-config）。

客户端使用boto3，使用硬编码的凭据可以正常工作。

我试图在boto3中使用get_credentials_for_identity获取文件夹。

我已创建了一个联合身份池，并为其分配了访问机密管理器的策略：

{
    "Version": "2012-10-17",
    "Statement": {
        "Effect": "Allow",
        "Action": "secretsmanager:GetSecretValue",
        "Resource": "<arn-of-the-secret-the-app-needs-to-access>"
    }
}

我也使用通用Cognito角色做了同样的事情。（知道这不是问题所在，但我相信我们都在努力解决一些问题）。

client = boto3.client('cognito-identity', region_name='eu-west-1')
response = client.get_credentials_for_identity(
    #identity taken from fedenration/identity pools;app with cognito access
    IdentityId='eu-west-1:6###...',
)
creds_dic = response['Credentials']
awsaccesskey = creds_dic['AccessKeyId']
awsseckey = creds_dic['SecretKey']
print(response)
print(awsseckey)
print(awsaccesskey)

给我错误的AccessKeyId和SecretKey它提供的那些我甚至找不到。我想我要求的是持有此身份的IAM的访问密钥/机密，但我需要IAM角色的访问密钥/机密，该角色正在访问机密管理器，以便我可以将它们输入boto3并检索凭据/机密。

我也需要同样的用户池，但一旦我意识到我所做的蠢事，我就可以配置它。




Answer 1

Cognito生成由AWS STS出售的新凭据。您将无法将这些凭据与现有的IAM生成的凭据相匹配。要访问AWS Secrets Manager API，请确保您的Cognito标识池的验证角色具有足够的权限。