具有跨账户IAM角色的EC2实例

Question

我在其中一个账户（例如账户A）中创建了跨账户IAM角色，并希望将该角色附加到另一个账户（账户B）中的ec2实例。

我尝试在帐户B中用sts创建一个新角色：AssumeRole指向A中的角色并将其附加到B中的ec2实例。似乎没有工作。

ec2实例如何在A中承担交叉账户角色？

Answer 1

您无法直接将跨帐户IAM角色附加到EC2实例。拥有sts:AssumeRole权限并不会自动将一个角色假设为另一个角色。

相反：

1. 创建帐户A.
2. 跨帐户角色创建账户B.对EC2实例的IAM角色给这个角色的权限来执行sts:AssumeRole。
3. 将＃2的IAM角色分配给您的EC2实例。

然后，当你想从您的EC2实例访问AWS API：

1. 执行sts:AssumeRole承担帐户A跨帐户的角色，获得临时凭证。
2. 使用这些临时凭证来执行其余的API方法。