Войдите в систему как пользователь IAM, используя AWS SDK

Может ли кто-нибудь помочь мне, как войти в систему как пользователь IAM с помощью AWS SDK? Я использую AWS SDK для Java и нахожу подходящие API для входа в систему в качестве пользователя IAM, чего я не могу сделать. Я могу передать ключи доступа и секретные ключи для входа в систему с помощью SDK, но мой вариант использования заключается в проверке пользователя и пароля, предоставленного пользователем IAM.


sdk amazon-web-services amazon-iam aws-sdk
person Creator's Creation    schedule 31.03.2014    source источник

Ответы (2)


arrow_upward
2
arrow_downward

Я также хотел бы, чтобы был безопасный способ сделать это. Но из всего, что я читал, нет.

Имя пользователя и пароль IAM можно использовать только с консолью управления Amazon и их форумами (http://docs.aws.amazon.com/AWSSecurityCredentials/1.0/AboutAWSCredentials.html)

Я рисовал в голове несколько идей, чтобы обойти это, но мне не удалось сделать это безопасно.

На данный момент моим лучшим решением является использование базы данных, в которой я отражаю имя пользователя iam и секретный ключ доступа aws. С секретным ключом, зашифрованным ofc. Но это все еще имеет следующие недостатки

  • Секретный ключ aws хранится в базе данных (даже если он не в открытом виде, он все равно там)
  • Клиенты будут иметь ключи доступа пользователя с правами на перечисление пользователей iam и доступ на чтение к базе данных.

Так что я не очень нашел эту идею.

Просто кажется, что мы оба упускаем здесь что-то важное.

person Rikard Söderström    schedule 03.04.2014

arrow_upward
1
arrow_downward

я предполагаю, что вход в экземпляр с помощью других поставщиков аутентификации (таких как локальная аутентификация/AD/LDAP и т. д.) и использование назначенной роли IAM для вызова API AWS.

Я разрабатываю пользовательское веб-приложение, вход в систему будет осуществляться с помощью google-oauth (с использованием паспорта.js) и я думаю о назначении ролей IAM, поэтому мне не нужно предоставлять ключи aws или хранить их.

person Greyeye    schedule 07.04.2014
comment
Проблемы с этим подходом, по-видимому, заключаются в том, что все ваши пользователи будут иметь одинаковые права в AWS (через назначенную роль IAM), а CloudTrail не сможет зарегистрировать отдельного пользователя, верно? - person realMarkusSchmidt; 17.04.2016
comment
да, это не для сложной ситуации, и если у вас есть требования к аудиту по облачному следу, это не подходит. В любом случае, я не знаю, чтобы войти в aws через SDK, вам нужно предоставить ключи вручную или через STS. Вы можете рассмотреть возможность федеративного доступа к AWS, обеспечивая сопоставление федеративных пользователей с пользователями IAM. aws.amazon.com/iam/details/manage-federation это может быть более подходящим для вас. - person Greyeye; 18.04.2016
comment
Благодарю вас! Действительно ли возможно сопоставление федеративных пользователей с пользователями IAM? Все, что я могу найти, касается сопоставления федеративных пользователей с ролями IAM. - person realMarkusSchmidt; 19.04.2016