AWS CLI 可以与联合登录一起使用吗？

Question

我使用我公司的 Active Directory 账户登录 AWS。我们使用联合登录，描述在这里：

联合用户和角色

联合用户不像 IAM 用户那样在您的 AWS 账户中拥有永久身份。要将权限分配给联合用户，您可以创建一个称为角色的实体并为该角色定义权限。当联合用户登录 AWS 时，该用户与角色关联并被授予角色中定义的权限。有关更多信息，请参阅为第三方身份提供者（联合）创建角色。

我的公司有一个安全令牌服务 (STS)，它是 SAML 提供商。

我可以使用它登录 AWS 管理控制台，但我是否也可以使用联合登录名登录 AWS CLI？

Answer 1

saml2aws 可用于联合用户的 AWS CLI。

请参阅https://github.com/Versent/saml2aws，这是基于https://aws.amazon.com/de/blogs/security/how-to-implement-federated-api-and-cli-access的 python 代码-使用-saml-2-0-和-ad-fs/

您可以使用以下命令登录默认 IDP AWS 帐户，您的组织将为您提供 IDP 帐户名称。

saml2aws --idp-account="default" --username=USERNAME --password=PASSWORD

要使用联合用户进行自动化，您需要使用exec

saml2aws --idp-account="default" --username=USERNAME --password=PASSWORD exec command

Answer 2

是的，这是可能的，但它并不简单。AWS 安全博客中有一篇相当长的博客文章，解释了如何能够以 SAML 联合用户身份使用 CLI：https: //aws.amazon.com/de/blogs/security/how-to-implement-federated -api-and-cli-access-using-saml-2-0-and-ad-fs/