Wie zu verwenden MFA mit AWS CLI?

Call aws sts get-session-token --token-code <value> dokumentiert hier. Dies wird Ihnen eine vorübergehende Sicherheits-token. Dokumentation über die Verwendung der temporären Sicherheits-token finden hier.

Habe ich veröffentlicht eine PR für die aws-Befehlszeilenschnittstelle, die es erlauben, zu verwenden mfa_serial in den Anmeldeinformationen, die Sie zwingen, zu geben Sie die token, bevor Anfrage an AWS - (und es wird zwischengespeichert werden, während der token gültig ist)

• Problem: https://github.com/aws/aws-cli/issues/3172
• botocore PR: https://github.com/boto/botocore/pull/1399
• aws-cli-PR: https://github.com/aws/aws-cli/pull/3174

Fühlen Sie sich frei, zu wählen, wenn Sie wollen, um es zu bekommen in.

Auf Windows

Ich bin unter windows und habe ich eine batch-Datei zu übergeben, in meinem MFA-code eingeben und automatisch meine Anmeldeinformationen. Erste, Sie brauchen, um Ihre Produktion Anmeldeinformationen bei AWS:

aws configure --profile prod

Beantworten Sie die Fragen entsprechend mit deinem key und secret. Dann führe ich mein Skript wie dieses:

C:\> mfa-getCreds.bat 229168

Your credentials are set up, and will expire on 2019-05-12T04:04:13Z

Now you should be able to run aws commands like this: aws s3 ls

Hier der Inhalt meiner mfa-getCreds.bat:

@echo off

set TOKEN=%1
if not defined TOKEN goto showUsage   

@call aws sts get-session-token --profile prod --serial-number "arn:aws:iam::109627855994:mfa/ryan.shillington" --token-code %* > c:\temp\mfa-getCreds.json

FOR /F "tokens=* USEBACKQ" %%g IN (`jq -r ".Credentials.AccessKeyId" c:\temp\mfa-getCreds.json`) do (SET AWS_ACCESS_KEY=%%g)
FOR /F "tokens=*" %%g IN ('jq -r ".Credentials.SecretAccessKey" c:\temp\mfa-getCreds.json') do (SET "AWS_SECRET_KEY=%%g")
FOR /F "tokens=*" %%g IN ('jq -r ".Credentials.SessionToken" c:\temp\mfa-getCreds.json') do (SET "AWS_SESSION_TOKEN=%%g")
FOR /F "tokens=*" %%g IN ('jq -r ".Credentials.Expiration" c:\temp\mfa-getCreds.json') do (SET "EXPIRATION=%%g")

set AWS_ACCESS_KEY_ID=%AWS_ACCESS_KEY%
set "AWS_SECRET_ACCESS_KEY=%AWS_SECRET_KEY%"

echo.
echo Your credentials are set up, but will expire on %EXPIRATION%
echo.
echo Now you should be able to run aws commands like this: aws s3 ls

goto :EOF

:showUsage
echo Usage: %0 [MFA Token]
goto :EOF

Für diese auszuführen, müssen Sie die ausgezeichnete jq Paket in Ihrem Pfad.

Mein use-case ist, ich habe einen root-account, wo alle IAM-Benutzer erstellt und zugewiesen IAM-Gruppen, die wiederum die Fähigkeit haben, zu übernehmen Rollen, die auf ein anderes Konto mit unterschiedlichem Zugang je nach der Gruppe, der Sie sind auf. Ich habe ein paar Hausregeln im Ort;

1. Niemand erlaubt ist zu tun, alles auf den root-account mit Ausnahme der Verwaltung Ihrer eigenen IAM-Benutzer-Konto.
2. Benötigte Passwort zurücksetzen.
3. Erforderlich MFA.
4. Sie können nicht zwischen Konten wechseln, ohne sich mit MFA.

Diese wurde eingerichtet für die Nutzung von AWS Shared-Organisationen.

Zuvor habe ich mit einem python-Skript, das ich schrieb, um mein Benutzer-login über cli mit der MFA und die Schalter-Konten. Dies erfolgt durch Bearbeiten der ~/.aws/Anmeldeinformationen.

Ich habe seit migriert mit diesem Projekt https://gitlab.com/severity1/aws-auth, das ist geschrieben in Go und ermöglicht es mir, das gleiche zu tun, ohne viel setup und es funktioniert auf windows, macosx und linux.

Dadurch können effektiv alle meine Benutzer die Möglichkeit, lokale Tests während der Entwicklung von Anwendungen für AWS-ohne hartcodieren AWS-Anmeldeinformationen in Ihrem code.

Habe ich Gabel-Chinmay die gist und aktualisiert es, ziehen Sie die Geräte-Seriennummern von aws statt hardcoding es. Ich habe auch aktualisiert die Ausgänge an status zurück 1 anstelle von nur beenden.

Finden Sie hier:
https://gist.github.com/jpribyl/e44021ae5cbf7fd1b4549598e85b5341

Ich bin mit es in der deploy-Skripte wie dieses (habe ich umbenannt, das Skript zu awsMfaCli.sh):

. awsMfaCli.sh
script_status=$?

if [[ $script_status -ne 1 ]]; then
    echo "Building production"
    if npm run build ; then
       echo "Build Successful"
    else
      echo "Error building, exiting.."
      return 1
    fi


    echo "Removing all files on bucket.."
    aws s3 rm --recursive s3://mybucket

    echo "Uploading site.."
    aws s3 sync build/s3://mybucket
    echo "S3 Upload complete.."
    echo "Deployment complete."
else
    return 1
fi