具有跨賬戶IAM角色的EC2實例

Question

我在其中一個賬戶（例如賬戶A）中創建了跨賬戶IAM角色，並希望將該角色附加到另一個賬戶（賬戶B）中的ec2實例。

我嘗試在帳戶B中用sts創建一個新角色：AssumeRole指向A中的角色並將其附加到B中的ec2實例。似乎沒有工作。

ec2實例如何在A中承擔交叉賬戶角色？

Answer 1

您無法直接將跨帳戶IAM角色附加到EC2實例。擁有sts:AssumeRole權限並不會自動將一個角色假設爲另一個角色。

相反：

1. 創建帳戶A.
2. 跨帳戶角色創建賬戶B.對EC2實例的IAM角色給這個角色的權限來執行sts:AssumeRole。
3. 將＃2的IAM角色分配給您的EC2實例。

然後，當你想從您的EC2實例訪問AWS API：

1. 執行sts:AssumeRole承擔帳戶A跨帳戶的角色，獲得臨時憑證。
2. 使用這些臨時憑證來執行其餘的API方法。