Terraform Cloud / Enterprise - 如何使用 AWS 承担角色

Question

我想将 AWS Assume Roles 与 Terraform Cloud / Enterprise 一起使用

在 Terraform 开源中，您通常只需执行假设角色，利用 CLI 上的 .aws/Credential Profile（这是初始身份验证）并执行假设角色：

provider "aws" {
  assume_role {
    role_arn     = "arn:aws:iam::ACCOUNT_ID:role/ROLE_NAME"
    session_name = "SESSION_NAME"
    external_id  = "EXTERNAL_ID"
  }
}

问题是，使用 Terraform Enterprise 或 Cloud，您无法引用配置文件，因为不可变基础架构的目录中不会包含该文件。

Terraform Cloud/Enterprise 需要将访问密钥 ID 和秘密访问密钥设置为变量，以便其基础设施可以通过其管道执行 Terraform RUN，并对您想要在其中配置的任何 AWS 账户进行身份验证。

所以问题是：如何利用 AWS 账户的访问密钥 ID 和秘密访问密钥以及“Action”：“sts:AssumeRole”策略来执行 AWS 承担角色？

我认为，下面的方法可行，但是 Terraform 正在通过 AWS Credential Profile 凭证对具有 sts:AssumeRole 策略的帐户进行初始身份验证

当尝试承担角色时，Terraform 是否可以查看 access_key 和 Secret_key 来确定要使用的 AWS 账户，而不是使用 AWS 凭证配置文件？

provider "aws" {
  region                  = var.aws_region
  access_key              = var.access_key_id
  secret_key              = var.secret_access_key

    assume_role {
    role_arn     = "arn:aws:iam::566264069176:role/RemoteAdmin"
    #role_arn     = "arn:aws:iam::<awsaccount>:role/<rolename>" # Do a replace in "file_update_automation.ps1"
    session_name = "RemoteAdminRole"
  }
}

为了允许 Terraform Cloud/Enterprise 获取新的 Assume Role 会话令牌，需要使用 Access_key 和 Secret_key 来告诉它哪个 AWS 账户具有 sts:assume 角色，链接到要配置的成员 AWS 账户，以及不是 AWS 信用配置文件

谢谢

Answer 1

我使用了完全相同的提供程序配置，但没有显式添加访问键。访问密钥作为环境变量添加到 Terraform Cloud 工作区中。