AWS 角色授予本地 Spinnaker 实例使用 AWS 资源的访问权限答案

【问题标题】：AWS role to grant access to use AWS resources by local spinnaker instanceAWS 角色授予本地 Spinnaker 实例使用 AWS 资源的访问权限
【发布时间】：2017-10-13 05:40:17
【问题描述】：

我正在尝试在本地设置 Spinnaker 来管理 AWS EC2 实例。当前文档描述了在 EC2 上运行 Spinnaker 实例所需的步骤。他们正在创建一个角色并将其附加到大三角帆instance。当我在本地环境中运行 spinnaker 时，我正在寻找一种方法来允许我的本地 spinnaker 实例访问 AWS 资源。是否有可能拥有一个这样的政策/角色？可能正在使用 AWS-STS（安全令牌服务），但我不知道如何将这些凭据与 spinnaker 实例一起使用

【问题讨论】：

标签： amazon-web-services roles spinnaker

【解决方案1】：

您可以通过创建具有所需策略的 IAM 用户来直接执行此操作，以访问 AWS 资源并使用本地计算机中的编程访问凭证来使用 AWS CLI、API 或 SDK。

对于现有的 IAM 用户，步骤如下。

IAM 用户 -> 安全凭证 -> 创建访问密钥

注意：如果您不能信任您的本地环境，那么您可以使用 AWS STS 服务（为此您需要实施一个单独的服务，您可以在其中传递用户凭证并从 AWS STS 请求临时令牌）

【讨论】：

我会从 STS 服务获得临时信用，但是如何在 spinnaker 实例中使用它？

【解决方案2】：

您可以为本地机器创建 IAM 角色以代入，例如 this example，或更严格，大三角帆将在正确配置的情况下处理 STS 承担角色

至于临时证书，如果你的意思是 MFA 兼容性，我自己还在想办法做到这一点。我认为一种解决方法是创建一个调用 sts:assumeRole 的包装脚本，要求用户提供 MFA 令牌，然后设置 AWS_ACCESS_KEY、AWS_SECRET_KEY 和 AWS_SESSION_TOKEN，这将由 clouddriver 提供，但随后部署到多个 AWS 账户将是一个问题

【讨论】：