我想知道如何simulate-principal-policy将 AWS CLI 用于代入角色。

为了提供一些上下文，作为我的应用程序启动的一部分，我想确保应用程序具有访问它需要的所有 AWS 资源的必要权限。我通过获取调用者身份aws sts get-caller-identity并使用返回的调用者身份作为simulate-principal-policy请求的策略源来实现这一点。

当我们的应用程序在 EC2 上运行时，它使用一个假定的角色。所以，get-caller-identity返回一个假定的角色 arn。

如果我尝试simulate-principal-policy使用我的用户 arn 作为策略源 arn 执行，则该命令可以正常工作。

aws iam simulate-principal-policy --action-names "sqs:Receivemessage" --policy-source-arn "arn:aws:sts::123456789021:user/divesh"

但是，尝试使用假定的角色执行上述命令会报告错误。

aws iam simulate-principal-policy --action-names "sqs:Receivemessage" --policy-source-arn "arn:aws:sts::123456789021:assumed-role/development/development-session"
An error occurred (InvalidInput) when calling the SimulatePrincipalPolicy operation: Invalid Entity Arn: arn:aws:sts::123456789021:assumed-role/development/development-session does not clearly define entity type and name.

我们的应用程序在 Kubernetes 集群上运行，并使用kiam将 IAM 角色与 Pod 相关联。

我是 terraform 的新手，使用 terraform 创建 iam 用户

下面是 .tf 文件

resource "aws_iam_user" "lb" {
  name = "Ec2_view"

  # path = "/system/"
  # tags = {
  #   tag-key = "tag-value"
  # }
}

resource "aws_iam_access_key" "lb" {
  user = "${aws_iam_user.lb.name}"
}

resource "aws_iam_user_policy" "lb_ro" {
  name = "test"
  user = "${aws_iam_user.lb.name}"

  policy = <<EOF
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "ec2:Describe*"
      ],
      "Effect": "Allow",
      "Resource": "*"
    }
  ]
}
EOF
}

resource "aws_iam_user_login_profile" "u" {
  user                    = "${aws_iam_user.lb.name}"
  password_reset_required …

我试图允许一个AWS帐户（以下称为“第二个”）在另一个AWS帐户（以下称为“第一个”）的ECR存储库中提取图像。

我正在关注这些文件：

• https://docs.aws.amazon.com/AmazonECR/latest/userguide/RepositoryPolicyExamples.html（设置权限）
• https://aws.amazon.com/premiumsupport/knowledge-center/secondary-account-access-ecr/（获取令牌）

我向ECR存储库添加了以下权限：

{
  "Version": "2008-10-17",
  "Statement": [
    {
      "Sid": "AllowCrossAccountPull",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::<second>:root"
      },
      "Action": [
        "ecr:BatchCheckLayerAvailability",
        "ecr:BatchGetImage",
        "ecr:GetDownloadUrlForLayer"
      ]
    }
  ]
}

然后运行以下命令： eval "$(aws ecr get-login --no-include-email --region us-east-1 --profile second --registry-ids <second> <first>)"

我得到这个结果：

WARNING! Using --password via the CLI is insecure. Use --password-stdin.
WARNING! Your password will be stored unencrypted in /Users/libby/.docker/config.json.
Configure a credential helper to remove this warning. See
https://docs.docker.com/engine/reference/commandline/login/#credentials-store

Login Succeeded
WARNING! Using --password via …

我的 API 网关配置为在授权请求时调用我的自定义授权方 Lambda 函数。

对于带有身份验证令牌的请求，Lambda 函数会在将请求传递给上游之前对 JWT 令牌进行解密和解码，并进行一些验证。如果令牌验证失败，授权者会使用 401 Unauthorized 使请求短路。

对于不带有身份验证令牌的请求，该函数仅允许请求通过（生成一个允许策略。）网关的上游负责决定给定的请求是否需要身份验证（仍然，令牌解密/解码/验证是完全封装在网关中，而不是在每个上游实现。）

我的问题是：对于我的网关/授权方“允许”的未经身份验证的请求，允许策略的主体 ID 的适当值是多少？我似乎没有选择离开它undefined。

此外，如果我在多个不相关的请求之间重复使用主体 ID 会不会有任何风险？假设 X% 的请求共享'unauthenticated'主体 ID，作为最坏的例子，这些原本不相关的请求之间是否存在某种行为“冲突”的风险？也许一个规避风险/面向未来的解决方案是简单地附加一个 UUID 后缀：'unauthenticated|{uuid}'.

https://docs.aws.amazon.com/apigateway/latest/developerguide/use-custom-authorizer.html

除了返回 IAM 策略之外，自定义授权方函数还必须返回调用方的委托人标识符。

我一直在尝试让 MFA 与 kubectl 一起工作，以保护对 AWS 中 EKS 主节点的访问。文档似乎暗示这是可能的，但我遇到了问题，我无法弄清楚。

没有什么特别的，我可以连接到我的 EKS 集群：

kubectl get svc
NAME         TYPE        CLUSTER-IP   EXTERNAL-IP   PORT(S)   AGE
kubernetes   ClusterIP   172.20.0.1   <none>        443/TCP   2d

如果我将 MFA 添加到 AWS CLI，请遵循以下帖子：

如何将 MFA 与 AWS CLI 结合使用？

https://docs.aws.amazon.com/cli/latest/userguide/cli-roles.html

我像这样设置我的本地凭据：

[default]
aws_access_key_id = **********************
aws_secret_access_key = **********************
region = us-west-2

[default_role]
mfa_serial = arn:aws:iam::1234567890:mfa/spanktar
role_arn = arn:aws:iam::1234567890:role/test_assumeRole
source_profile = default

...然后我可以看到 AWS CLI 具有 MFA：

aws sts get-caller-identity --profile default_role
Enter MFA code for arn:aws:iam::1234567890:mfa/spanktar: 123456
{
    "UserId": "**********************:botocore-session-1234567890",
    "Account": …