amazon-web-services - 具有跨帐户IAM角色的EC2实例

Question

我已经在一个帐户（例如帐户A）中创建了一个跨帐户IAM角色，并希望将该角色附加到另一个帐户（帐户B）中的ec2实例。

我尝试使用sts：AssumeRole在帐户B中创建一个新角色，该角色指向A中的角色并将其附加到B中的ec2实例。似乎没有用。

ec2实例如何承担A中的交叉帐户角色？

Answer 1

您不能将跨帐户IAM角色直接附加到EC2实例。拥有sts:AssumeRole权限并不会自动使一个角色承担另一角色。

代替：


在帐户A中创建跨帐户角色。
为帐户B中的EC2实例创建IAM角色。授予该角色执行sts:AssumeRole的权限。
将＃2的IAM角色分配给您的EC2实例。


然后，当您想从EC2实例访问AWS API时：


执行sts:AssumeRole承担帐户A的跨帐户角色，以获取临时凭据。
使用这些临时凭据来执行其余的API方法。