AWS: IAM AssumeRole — описание, примеры

AssumeRole — механизм аутентификации в AWS IAM, позволяющий получить временные данные доступа для выполнения запросов к ресурсам, к которым у вас нет доступа.

Эти временные данные доступа состоят из привычных ACCESS и SECRET ключей, плюс security token.

Одним из примеров AssumeRole может быть Jenkins в EC2, джобы которого могут выполнять операции в AWS-аккаунте, используя EC2 Instance IAM role вместо обычного набора ACCESS/SECRET ключей. См. AWS: ротация ключей IAM пользователей, EC2 IAM Roles и Jenkins.

При таком варианте код, запущенный на ЕС2, к которой подключена IAM Instance Role, фактически выполняет assume-role от имени инстанса, и получает его временные данные доступа.

Проверить подключенную к ЕС2 роль можно из его метаданных:

Документация по EC2 metadata — тут>>>.

Документация по IAM AssumeRole — тут>>>.

Подготовка IAM

Создание пользователя

Добавляем нового юзера:

IAM test policy

Создаём IAM политику с разрешениями на выполнение некоторых API-вызовов к ядру AWS, назовём её iam-test-policy.json:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ec2:Describe*",
                "iam:ListRoles",
                "sts:AssumeRole"
            ],
            "Resource": "*"
        }
    ]
}

Добавляем её в AWS:

Сохраняем её ARN — «arn:aws:iam::534***385:policy/example-policy».

Attach IAM policy

Подключаем эту политику к созданному ранее пользователю:

Проверяем:

AWS IAM trust policy

Создаём файл iam-test-role-trust-policy.json, описываем политику, она будет являться AssumePolicyDocument:

{
    "Version": "2012-10-17",
    "Statement": {
        "Effect": "Allow",
        "Principal": { "AWS": "arn:aws:iam::534***385:root" },
        "Action": "sts:AssumeRole"
    }
}

В «Principal»: { «AWS»: «arn:aws:iam::534***385:root» } указываем кто именно может assume роль, к которой подключена эта политика.

В данном случае значение root указывает на всех пользователей AWS-аккаунта 534***385, см. документацию тут>>>.

RDS read-only IAM role

Создаём роль, подключаем AssumePolicyDocument, который создали выше:

Подключаем к нашей роли встроенную полиси самого AWS — AmazonRDSReadOnlyAccess:

Проверяем политики, подключенные к нашей роли:

Проверка

Проверим, что пользователь может выполнит API-вызов ec2:Describe к ядру Amazon Web Services.

Access keys

Получаем ключи доступа:

AWS profile

Настраиваем новый AWS-профиль:

Проверяем, что мы пользуемся именно им:

И выполняем ec2:Describe — должен сработать:

Теперь проверим доступ к RDS — должен вернуть AccessDenied:

Отлично.

Assume the IAM role

Находим ARN нашей iam-test-role роли:

Создаём новую сессию — собственно, и выполняем assume-role:

Отсюда берём три переменных, задаём их в окружение:

Ещё раз проверяем себя — теперь без указания профиля, что бы использовать переменные, которые только что задали (они имеют преимущество перед default профилем в /.aws/credentials):

И сравним с вызовом раньше, после создания пользователя:

Сравните UserId и Arn.

Проверяем доступы — сначала ЕС2, должен заблокировать:

И RDS:

Assume IAM Role в AWS CLI

Проверяем ~/.aws/config — тут у меня есть профиль arseniy, которым изначально и пользовались:

[profile arseniy]но
region = us-east-2
output = json

Создаём новый профиль, назовём его iam-test-user-cli:

...

[profile iam-test-user-cli]
role_arn = arn:aws:iam::534***385:role/iam-test-role
source_profile = arseniy
region = eu-west-3

Теперь при вызове AWS CLI с опцией --profile iam-test-user-cli мы должны выполнить запрос от имени arseniy.

Порядок выполнения запроса будет следующим:

1. вызываем rds:Describe (командой aws rds describe-db-instances)
2. AWS CLI выполняет запрос к AWS IAM сервису, передавая ему arseniy как пользователя, и выполнит попытку assume role роли iam-test-role
3. AWS IAM проверит Trust Policy роли iam-test-role, в частности — Principal, указанный там
4. если пользователь arseniy входит в Principal (а «Principal»: { «AWS»: «arn:aws:iam::534***385:root» } включает всех пользователей аккаунта) — то IAM разрешит использование политики iam-test-role
5. и AWS выполнит API-запрос к RDS

Проверяем — получим текущего пользователя, используя --profile iam-test-user-cli:

И проверяем доступ к RDS:

Готово.