如何使用 Boto3 从不同的 AWS 账户密钥管理器获取所有密钥？

Question

我在一个账户上有多个 EC2 实例。这些 ec2 实例需要从另一个帐户的 Secrets Manger 中获取所有机密。

我从 boto3 纪录片中收集到，我只能获取会话关联的帐户的秘密：https://boto3.amazonaws.com/v1/documentation/api/latest/reference/services/secretsmanager.html

这是否意味着我需要在这个其他账户上为这些 EC2 用户创建一个 IAM 用户才能获取存储在这个账户上的机密？或者还有其他更清洁的方法吗？

Answer 1

“更清洁”可能归结为偏好，但我会这样做：

1. 在附加了必要的 Secrets Manager 权限的目标账户中创建一个 IAM 角色，然后授予对源账户的访问权限。

https://docs.aws.amazon.com/IAM/latest/UserGuide/tutorial_cross-account-with-roles.html

1. 在您的源账户 EC2 上使用 boto3 客户端代入该角色（确保现有角色具有 STS 代入角色权限）。

https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-api.html

希望有帮助！