aws cli - 角色鏈 - 使用主賬戶中的主角色來承擔其他賬戶中的輔助角色

Question

我需要從主帳戶在輔助帳戶中擔任臨時角色。 對於主帳戶，我已經有一個角色，該角色具有輔助角色中臨時角色的代入角色策略。 但是當我執行命令時

aws sts assume-role --role-arn ${primaryRoleArn} --role-session-name ${awsProfile}

我收到這個錯誤

An error occurred (AccessDenied) when calling the AssumeRole operation: User: arn:aws:iam::xxxxxxx:user/primary is not authorized to perform: sts:AssumeRole on resource: arn:aws:iam::secondaryAccount:role/secondary_role

我做錯了什么？

Answer 1

必須明確允許您在 ~/.aws/credentials 文件中的憑據承擔此角色。 因此在主要角色信任策略中，您必須將您的用戶名添加到允許的假設中。

"Version": "2012-10-17",
"Statement": [
    {
        "Effect": "Allow",
        "Principal": {
            "AWS": "arn:aws:iam::${AccountId}:user/${AwsUserName}"
        },
        "Action": "sts:AssumeRole"
    }
]