在 AWS 管理控制台中代入另一个角色

Question

我在我的 IAM 中配置了两个名为“role1”和“role2”的角色以及一个名为“foobar”的用户。配置“role2”的信任策略，以便“role1”被授予 AssumeRole 操作，而“role1”可以由 foobar 用户承担。

所以使用 role2 的工作流程是以用户 foobar 身份登录，然后假设 role1 并从那里假设 role2。

我知道通过在配置文件~/.aws/config 中设置source_profile 值，我可以在CLI 中轻松地从role1 跳转到role2。但我一直无法在管理控制台（Web 界面）中做同样的事情。有“切换角色”菜单，但它只允许我从未登录的用户那里承担角色，而不是从已经承担的角色。

所以我的问题是：如何从管理控制台切换到上述场景中的“role2”？

Answer 1

我认为根据文档，不允许从 AWS 控制台进行传递 IAM Role 切换

Granting a user permissions to switch roles

当您在 AWS 管理控制台中切换角色时，控制台始终使用您的原始凭证来授权切换。无论您以 IAM 用户、SAML 联合角色还是 Web 身份联合角色登录，这都适用。例如，如果您切换到 RoleA，它会使用您的原始用户或联合角色凭据来确定您是否被允许担任 RoleA。如果您在使用 RoleA 时尝试切换到 RoleB，则您的原始用户或联合角色凭据将用于授权您的尝试，而不是 RoleA 的凭据。