EC2實例上的多個AWS賬戶的憑證

Question

我正在尋找一種使用在EC2實例上運行的AWS開發工具包（Java，可能不相關）訪問多個AWS帳戶上的AWS資源的方法。

更准確地說，假設有兩個AWS賬戶：

• 測試
• 產品

在prod帳戶的EC2實例上運行有一個Java應用程序，該應用程序創建了一個AmazonEC2Client實例（來自AWS Java SDK）。 我希望能夠從那里為測試帳戶和產品帳戶創建客戶端實例。

我可以使用本地計算機上的配置文件來執行此操作，但尚未弄清楚如何在EC2實例上執行此操作。

Answer 1

您可以通過以下兩種方式之一進行操作：

承擔角色

使用AWS安全令牌服務來AssumeRole 。 實際的實現取決於您，但是您可以將IAM角色分配給EC2實例，然后使用Java SDK中的AssumeRole函數從生產角色切換到測試（反之亦然）。

個人資料

聽起來您已經想出了如何在本地執行此操作，但是可以將其復制到EC2中（取決於用例）。 也就是說，我強烈建議您不要這樣做，而應遵循最佳實踐並使用STS：AssumeRole（上文）。

---

實際上，最好有一個單獨的EC2實例進行生產和測試（在這里對您的實際嘗試進行一些假設），在這種情況下，您可以根據需要分配適當的角色。

此外，如果我們要討論的是更大的部署，則您可能希望探索“ 整合賬單” ，通過為每個賬單使用單獨的AWS賬戶（但使用一個賬單賬戶），可以完全隔離生產和測試環境。 要了解更多信息，我建議您看一下本文： https : //blog.codeship.com/separate-aws-production-and-development-accounts/