gpt4 book ai didi

amazon-web-services - 如何在 AWS ECR 中使用 ASSUME_ROLE 推送到账户

转载 作者:行者123 更新时间:2023-12-05 05:43:53 26 4
gpt4 key购买 nike

我错过了什么?无论我尝试什么语法,推送到 AWS ECR 总是落在主/管理 AWS 账户中。在 AWS 控制台中,我可以使用适当的角色切换到该帐户。使用 Terraform,我可以设置 assume_role.role_arn 属性以在正确的帐户中创建资源。但是,Docker 和 AWS CLI 的配置或语法似乎都不起作用。我显然遗漏了一个步骤、属性或全局选项。

如果我走 Terraform 路线,我可以做任何我需要的事情。所以,我知道它应该有效...

provider "aws" {
region = "us-gov-west-1"
shared_credentials_file = "~/.aws/credentials"
profile = "govcloud"

assume_role {
role_arn = "arn:aws-us-gov:iam::123456789012:role/Build_Administrator"
}
}

但是,我宁愿不将 Terraform 用于推送到 ECR 这样简单的任务。

我已经尝试在 ~/.aws/config 中使用 role_arn 属性,但不起作用...

[govcloud]
region = us-gov-west-1
output = json

[govcloud-assume]
region = us-gov-west-1
output = json
role_arn=arn:aws-us-gov:iam::123456789012:role/Build_Administrator

在任何其他情况下,调用 get-login-password/create-repository 将利用当前配置的 key 并操作配置的帐户...

aws ecr get-login-password | docker login --username AWS --password-stdin 123456789012.dkr.ecr.us-gov-west-1.amazonaws.com
aws ecr create-repository --repository-name "complexapi" --image-tag-mutability MUTABLE

感觉好像应该有某种类型的全局选项来设置目标帐户或role_arn,但是没有任何组合有效...

aws ecr get-login-password --profile govcloud-assume --region us-gov-west-1 | docker login --username AWS --password-stdin 123456789012.dkr.ecr.us-gov-west-1.amazonaws.com
aws ecr create-repository --profile govcloud-assume --region us-gov-west-1 --repository-name "complexapi" --image-tag-mutability MUTABLE

更新 1:
感觉我越来越近了。设置访问 key 后,我可以成功调用 aws sts assume-role 并返回一个 Credentials 对象。只是还不知道如何处理它。

更新 2:
STS 是浪费时间,让我走错了路。不要去那里。它不是必需的,会污染 AWS CLI 的本地身份验证环境。

最佳答案

要使用带有 ECR 的 AWS CLI 担任角色,您必须在脚本中使用 --profile 属性并将 ~/.aws/config两个 属性一起构造:role_arnsource_profile

~/.aws/config 需要您希望使用的主帐户和子帐户。此子账户包含您希望承担的角色,ARN 在其 role_arn 属性中维护。子帐户的配置文件是您将在脚本中引用的内容,但是配置还必须指向将维护实际凭据的 source_profile:

[default]
region = us-gov-west-1
output = json

[profile gov-mgmt]
region = us-west-1
output = json

[profile gov-staging]
role_arn = arn:aws-us-gov:iam::123456789123:role/BuildBoxRole
source_profile = gov-mgmt
region = us-gov-west-1

然后您的 ~/.aws/credentials 文件包含主帐户的 key :

[gov-mgmt]
aws_access_key_id = ABCDEFGHIJKLMNOPQRST
aws_secret_access_key = abcdefghijklmnopqrstuvwxyz1234567890ab12

一旦到位,您的命令将引用包含您希望承担的角色(目标账户)的配置文件,并且在需要时,您可以使用该账户 ID。在 get-login-password 命令的示例中,使用子账户的名称向 AWC CLI 传递 --profile 属性。 Docker 将从 AWS CLI 接收生成的密码,并直接通过编号引用子账户。

例如,以下是在子账户中创建 AWS ECR 存储库的命令(请注意使用了子账户 ID 以及该账户的配置文件名称):

aws ecr get-login-password --profile gov-staging | docker login \
--username AWS \
--password-stdin 123456789123.dkr.ecr.us-gov-west-1.amazonaws.com

aws ecr create-repository \
--profile gov-staging \
--repository-name "complexapi" \
--image-tag-mutability MUTABLE

...以及使用 latest 标签和正确的版本号将图像推送到子帐户注册表所需的命令:

docker tag fredlackey/complexapi:0.0.0 \
123456789012.dkr.ecr.us-gov-west-1.amazonaws.com/complexapi:0.0.0

docker tag fredlackey/complexapi:0.0.0 \
123456789012.dkr.ecr.us-gov-west-1.amazonaws.com/complexapi:latest

aws ecr get-login-password \
--profile gov-staging | docker login \
--username AWS \
--password-stdin 123456789012.dkr.ecr.us-gov-west-1.amazonaws.com

docker push 123456789012.dkr.ecr.us-gov-west-1.amazonaws.com/complexapi:0.0.0

docker push 123456789012.dkr.ecr.us-gov-west-1.amazonaws.com/complexapi:latest

关于amazon-web-services - 如何在 AWS ECR 中使用 ASSUME_ROLE 推送到账户,我们在Stack Overflow上找到一个类似的问题: https://stackoverflow.com/questions/71726265/

26 4 0
Copyright 2021 - 2024 cfsdn All Rights Reserved 蜀ICP备2022000587号
广告合作:1813099741@qq.com 6ren.com