如何承担从 python 中的 aws config 规则传递的角色

Question

我正在尝试集中管理子帐户中 运行 自定义配置规则的 lambda 函数。 lambda 函数将承担作为参数传递给配置规则的角色。

我正在关注 How to Centrally Manage AWS Config Rules across Multiple AWS Accounts | AWS DevOps Blog。

有人提到这样做：

// Assume the role passed from the managed-account

aws.config.credentials = new aws.TemporaryCredentials({RoleArn: ruleParameters.executionRole});
let config = new aws.ConfigService({});

Python怎么办？

Answer 1

我浏览了您分享的博客，并根据博客， 当您在托管帐户中创建配置规则时，您必须将 executionRole 作为参数传递。

• 如果您不知道什么是 executionRole，它是在管理帐户中的第 3 步中创建的角色，可以由管理员帐户中的 role/lambda_config_role 承担。
• role/lambda_config_role 是您分配给父账户中的 lambda 函数的角色。

根据博客：

1. 在管理员帐户中创建角色 A。
2. 在托管帐户中创建角色 B。
3. 将角色 A 作为受信任的实体添加到角色 B。
4. 在创建配置规则时将角色 B 作为参数传递给 Lambda 函数。 （这可以按照博客的第 5 步中的说明完成。）
5. 在管理员帐户的 python 代码中使用角色参数。由于您已允许角色 A 代入角色 B，因此角色 A 具有创建和使用临时凭证的必要权限。