1

我正在尝试与我的用户（来自联合帐户）在 awscli 中担任角色，但我不能。

每次我运行这个命令时：

% aws sts assume-role --role-arn “arn:aws:iam::123456789012:role/eksServiceRole” --role-session-name "my_test"

我收到此错误：

An error occurred (AccessDenied) when calling the AssumeRole operation: User: arn:aws:sts::123456789012:assumed-role/AzureAD_AWS_Admin/me@mycompany.com is not authorized to perform: sts:AssumeRole on resource: “arn:aws:iam::123456789012:role/eksServiceRole”

我已将我的帐户作为信任关系添加到此角色，但仍然没有任何效果：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": [
          "arn:aws:sts::123456789012:assumed-role/AzureAD_AWS_Admin/me@mycompany.com",
          "arn:aws:iam::123456789012:root"
        ],
        "Service": "eks.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    },
  ]
}

我已经为这个角色尝试过同样的事情，但它仍然不起作用。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": [
          "arn:aws:iam::123456789012:root",
          "arn:aws:sts::123456789012:assumed-role/AzureAD_AWS_Admin/me@mycompany.com"
        ]
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "sts:ExternalId": "2ffd8b2c3d8edaf02104a081af4b78d82f6e770f"
        }
      }
    }
  ]
}

我还为所有地区激活了 STS。

我尝试了不同的角色和用户，但由于这个假设角色，我永远无法运行命令。我只需要这样做就可以继续我的项目（一个 Gitlab EKS 集群集成来安装指标服务器）。

我为此苦苦挣扎了好几天，并且在堆栈溢出中尝试了所有解决方案。

4

1 回答 1

1

我已经解决了！

它缺少 externalId。在这种情况下，对于这些角色，它们是使用来自第三方应用程序 (Gitlab) 的 externalId 创建的。

所以我把--external-id参数放在优雅运行的所有东西中：

% aws sts assume-role --role-arn arn:aws:iam::123456789012:role/eksGitlabProvisionRole --external-id 2ffd4wsc3d8edaf02104a081af4b78g432f6e750f --role-session-name my_test
于 2020-12-04T18:38:42.813 回答