如何使用IAM用户帐户下载EC2 X.509证书？

Question

通过AWS身份和访问管理,我有一个用户帐户到我的CTO的AWS账户(谁有一些钱).

我想使用这个IAM用户帐户来设置我自己的实例ssh到它并运行一些BeautifulSoup python脚本.

但是,按照本教程,当到达我需要进入Security Credentials页面的部分时,我无法访问此页面而且我被告知我没有查看它的权限.

我使用IAM管理器检查了我的权限,并且我拥有管理权限,最高可能的许可(所以在我看来).

我该怎么做才能获得这个X.509证书？

Answer 1

前言

首先,您可能想重新考虑是否确实需要这些X.509证书 - 原则上该教程是正确的:

有三种类型:访问密钥,X.509证书和密钥对.第一种和第二种类型允许您连接到Amazon API.哪种类型的凭据取决于您使用的API和工具.一些API和工具支持这两种选项,而其他API仅支持一种选项.

但是,现在大多数现代API和工具仅通过访问密钥而不是X.509证书与AWS交互.

遗憾的是,本教程所依据的EC2 API工具并非如此,因为(主要)基于旧的EC2 SOAP API仍然需要使用X.509证书.

更新:EC2 API工具同时支持AWS访问密钥,并相应地使用X.509证书弃用:

虽然我们不鼓励它,但在有限的时间内您仍然可以使用EC2_PRIVATE_KEY和EC2_CERT而不是AWS_ACCESS_KEY和AWS_SECRET_KEY.有关更多信息,请参阅 Amazon Elastic Compute Cloud CLI参考中API工具的常用选项中的不推荐选项.如果指定两组凭据,则命令行工具将使用访问密钥ID和密钥访问密钥.

替代

您可能希望首先检查一个替代方案:如果您对Python感到满意,我强烈推荐优秀的boto(Amazon Web Services提供的当前和未来基础结构服务的集成界面),它可以很好地使用访问键,提供与EC2 API工具(加上大多数其他AWS API)几乎相同的功能集,并且由于仅针对较新的AWS REST API,性能显着提高.

解

AWS身份和访问管理(IAM)不支持访问实际的AWS账户,它仅涵盖AWS管理控制台和大多数AWS API.您需要使用AWS账户的登录名和密码(即账户所有者的登录名和密码)登录才能访问Security Credentials页面.

这是不推荐了,但(见安全证书内IAM概念):

[...]当您创建AWS账户时,AWS默认为AWS账户提供自己的秘密访问密钥和访问密钥ID.AWS账户可以与AWS进行API调用.我们希望您不会定期使用这些凭据,但只会使用它们来初步为您的组织设置管理员组.我们建议您的AWS账户和AWS资源之间的所有进一步API交互都在用户级别(例如,使用用户的安全凭证).[强调我的]

但是,您仍然可以使用自己的证书来实现目标,如X.509证书部分所述:

虽然您可以使用IAM创建访问密钥,但您无法使用IAM创建签名证书.但是,您可以使用免费的第三方工具(如OpenSSL)来创建证书.[...]获得签名证书后,必须将其上传至IAM; [...]

如何实际执行后者在上载签名证书中说明.