使用IAM角色的Terraform承担

Question

我一直在使用带有Terraform的访问/秘密密钥在AWS中创建/管理我们的基础架构。 但是，我试图改为使用IAM角色。 我应该能够在我的帐户中使用某个角色，并在另一个帐户中承担该角色，并且应该能够运行计划，应用等功能以在另一个帐户中建立基础结构。 任何想法，请提出建议。

到目前为止，我正在使用https://www.terraform.io/docs/providers/aws/进行测试，但是由于某种原因，它对我不起作用或者说明对我来说并不明确。

Answer 1

我们使用非地形脚本使用IAM角色设置我们的凭据并承担角色。（类似https://github.com/Integralist/Shell-Scripts/blob/master/aws-cli-assumerole.sh ）好的，我们使用https://github.com/redventures/oktad

我们获得了tmp凭证和令牌，将其保存在〜/ .aws / credentials中作为各自的dev / prod等配置文件，然后指向我们各自的terraform提供商配置，如下所示：

provider "aws" {
  region                  = "${var.region}"
  shared_credentials_file = "${pathexpand("~/.aws/credentials")}"
  profile                 = "${var.dev_profile}"
}

Answer 2

获取您要担任的角色的完整ARN。 在您的提供程序配置中，将'assume_role'块与ARN一起使用： https ://www.terraform.io/docs/providers/aws/index.html#assume_role

provider "aws"
  region = "<whatever region>"
  assume_role {
    role_arn     = "arn:aws:iam::ACCOUNT_ID:role/ROLE_NAME"
  }
}