aws cli - 角色链 - 使用主账户中的主角色来承担其他账户中的辅助角色

Question

我需要从主帐户在辅助帐户中担任临时角色。 对于主帐户，我已经有一个角色，该角色具有辅助角色中临时角色的代入角色策略。 但是当我执行命令时

aws sts assume-role --role-arn ${primaryRoleArn} --role-session-name ${awsProfile}

我收到这个错误

An error occurred (AccessDenied) when calling the AssumeRole operation: User: arn:aws:iam::xxxxxxx:user/primary is not authorized to perform: sts:AssumeRole on resource: arn:aws:iam::secondaryAccount:role/secondary_role

我做错了什么？

Answer 1

必须明确允许您在 ~/.aws/credentials 文件中的凭据承担此角色。 因此在主要角色信任策略中，您必须将您的用户名添加到允许的假设中。

"Version": "2012-10-17",
"Statement": [
    {
        "Effect": "Allow",
        "Principal": {
            "AWS": "arn:aws:iam::${AccountId}:user/${AwsUserName}"
        },
        "Action": "sts:AssumeRole"
    }
]