如何为不同的帐户执行 aws ec2 describe-instances

假设我们有两个 AWS 帐户：Account-A、Account-B 和一个在 AccountA 上运行的 ec2 实例。

aws ec2 describe-instances~/.aws/credentials对于没有具有实例角色的文件的实例自己的帐户，可以按预期工作。

我的目标是aws ec2 describe-instances从这个实例中为 Account-B 运行。

以下命令起作用并输出凭据：

$ aws sts assume-role --role-arn arn:aws:iam::012345678901:role/accountb-role --role-session-name test

但是，这不会：

$ aws ec2 describe-instances --profile AccountB

'aws_access_key_id'

~/.aws/config

[default]
region = us-east-1

[profile AccountB]
role_arn = arn:aws:iam::012345678901:role/accountb-role
source_profile = default

正如我提到的，~/.aws/credentials不存在，因为实例使用 IAM 的实例角色。

accountb-role 信任关系策略

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "lambda.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    },
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::012345678900:role/accounta-role"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

实例内联策略

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Stmt1490625590000",
            "Effect": "Allow",
            "Action": [
                "sts:AssumeRole"
            ],
            "Resource": [
                "arn:aws:iam::012345678901:role/accountb-role"
            ]
        }
    ]
}

实例accounta-role角色和附加accountb-role的股票ReadOnlyAccessIAM 策略。