如何在沒有AWS Vault的情況下使用boto3？

Question

我有以下在Python中工作的方法：

def connect_s3_boto3():
    try:
        os.environ['AWS_PROFILE'] = "a9e"
        s3 = boto3.resource('s3')
        return s3
    except:
        raise

問題是使用~/.aws/config可以正常工作：

[profile home]
aws_access_key_id=ID
aws_secret_access_key=SECRET
[profile a9e]
region=eu-west-1
role_arn=DAROLE
source_profile=home

因此，我有一系列疑問。 在要使用該方法的生產環境中，需要設置AWS Vault？ 有沒有其他選擇？ 例如使用IAM_ROLE如boto2 。

Answer 1

對於在Amazon EC2實例上運行的代碼：

• 創建IAM角色並分配適當的權限
• 將角色與Amazon EC2實例相關聯
• 在調用AWS開發工具包的實例上運行的任何代碼將自動獲取與角色相關聯的憑證
• 無需在配置/憑證文件中放置訪問密鑰，秘密密鑰或角色

請參閱： Amazon EC2的IAM角色-Amazon Elastic Compute Cloud

如果在非EC2計算機上運行代碼，則需要在config / credentials文件中輸入條目。 這將至少涉及與IAM用戶關聯的訪問密鑰和秘密密鑰。 如果您隨后希望使用IAM角色，則代碼將需要使用這些憑據進行AssumeRole() 。