Rôle AWS pour accorder l'accès à l'utilisation des ressources AWS par l'instance de spinnaker locale

Question

J'essaie de configurer spinnaker localement pour gérer les instances AWS EC2. La documentaion actuelle décrit les étapes pour lesquelles une instance de spinnaker doit être exécutée sur EC2. Ils créent un rôle et l'attachant au spinnaker instance. Comme je cours spinnaker dans mon environnement local, je trouve un moyen qui permettra à mon instance spinnaker local d'accéder aux ressources AWS. Sera-t-il possible d'avoir une telle politique/un tel rôle? Peut-être utiliser AWS-STS (Security Toke Service), mais je ne sais pas comment utiliser ce creds avec instance spinnaker

Answer 1

Vous pouvez le faire directement en créant un utilisateur IAM avec les stratégies requises pour accéder à AWS Resources et utiliser le Programmatic accès Informations d'identification sur votre ordinateur local pour utiliser AWS CLI, API ou SDK.

Pour un utilisateur IAM existant, les étapes sont les suivantes.

IAM utilisateur -> Informations d'authentification de sécurité -> Créer des clés d'accès

Note: Si vous ne pouvez pas faire confiance à votre environnement local, vous pouvez utiliser le service AWS STS (Pour cela, vous devez mettre en place un service distinct , où vous pouvez passer des informations d'identification de l'utilisateur et demande un jeton temporelle de AWS STS)

Answer 2

vous pouvez créer le rôle IAM pour votre machine locale à assumer, comme this example, ou plus strictes, spi se chargera de la mission STS assumer le rôle donné son pro configuré En ce qui concerne les informations d'identification temporaires, si ce que vous voulez dire est la compatibilité MFA, je suis encore moi-même déterminer la façon de le faire. Je pense qu'une solution consiste à créer un script wrapper qui appelle sts: supposeRole, demande à l'utilisateur de fournir le jeton MFA, puis définit AWS_ACCESS_KEY, AWS_SECRET_KEY et AWS_SESSION_TOKEN qui seront honorés par clouddriver, mais le déploiement sur plusieurs comptes AWS sera un problème