Terraform не может принимать роли с включенным MFA

Terraform в настоящее время не поддерживает запрос токена MFA при запуске, поскольку он предназначен для работы в максимально менее интерактивном режиме и, по-видимому, потребует значительной переделки структуры поставщика для поддержки этой интерактивной конфигурации поставщика. Подробнее об этом можно узнать в этом выпуске.

Как также упоминалось в этом выпуске, лучше всего использовать какую-либо форму скрипта / инструмента, который уже принимает на себя роль до запуска Terraform.

Я лично использую AWS-Vault и написал небольшой скрипт оболочки оболочки, на который я создаю символическую ссылку из terraform ( и другие вещи, такие как aws, для которых я хочу использовать AWS-Vault для получения учетных данных), который определяет, как он вызывается, находит «настоящий» двоичный файл с помощью which -a, а затем использует exec AWS-Vault для запуска целевой команды с указанные учетные данные.

Мой сценарий выглядит так:

#!/bin/bash

set -eo pipefail

# Provides a shim to override target executables so that it is executed through aws-vault
# See https://github.com/99designs/aws-vault/blob/ae56f73f630601fc36f0d68c9df19ac53e987369/USAGE.md#overriding-the-aws-cli-to-use-aws-vault for more information about using it for the AWS CLI.

# Work out what we're shimming and then find the non shim version so we can execute that.
# which -a returns a sorted list of the order of binaries that are on the PATH so we want the second one.
INVOKED=$(basename $0)
TARGET=$(which -a ${INVOKED} | tail -n +2 | head -n 1)

if [ -z ${AWS_VAULT} ]; then
    AWS_PROFILE="${AWS_DEFAULT_PROFILE:-read-only}"
    (>&2 echo "Using temporary credentials from ${AWS_PROFILE} profile...")

    exec aws-vault exec "${AWS_PROFILE}" --assume-role-ttl=60m -- "${TARGET}" "$@"
else
    # If AWS_VAULT is already set then we want to just use the existing session instead of nesting them
    exec "${TARGET}" "$@"
fi

Он будет использовать профиль в вашем ~/.aws/config файле, который соответствует переменной среды AWS_DEFAULT_PROFILE, которую вы установили, по умолчанию - профиль read-only, который может быть или не быть полезным по умолчанию для вас. Это гарантирует, что AWS-Vault принимает на себя роль IAM, получает учетные данные и устанавливает их в качестве переменных среды для целевого процесса.

Это означает, что Terraform получает учетные данные через переменные среды, и это просто работает.

Я использовал очень простое, хотя, возможно, грязное решение, чтобы обойти это:

Во-первых, позвольте TF выбрать учетные данные из переменных среды. Потом:

Файл учетных данных AWS:

[access]
aws_access_key_id = ...
aws_secret_access_key = ...
region = ap-southeast-2
output = json

[target]
role_arn = arn:aws:iam::<target nnn>:role/admin
source_profile = access
mfa_serial = arn:aws:iam::<access nnn>:mfa/my-user

В консоли

CREDENTIAL=$(aws --profile target sts assume-role \
  --role-arn arn:aws:iam::<target nnn>:role/admin --role-session-name TFsession \
  --output text \
  --query "Credentials.[AccessKeyId,SecretAccessKey,SessionToken,Expiration]")

<enter MFA>

#echo "CREDENTIAL: ${CREDENTIAL}"
export AWS_ACCESS_KEY_ID=$(echo ${CREDENTIAL} | cut -d ' ' -f 1)
export AWS_SECRET_ACCESS_KEY=$(echo ${CREDENTIAL} | cut -d ' ' -f 2)
export AWS_SESSION_TOKEN=$(echo ${CREDENTIAL} | cut -d ' ' -f 3)

terraform plan

ОБНОВЛЕНИЕ: лучшее решение - использовать https://github.com/remind101/assume-role Чтобы добиться того же результата.

Другой способ - использовать credential_process, чтобы сгенерировать учетные данные с помощью локального сценария и кэшировать токены в новом профиле (назовем его tf_temp)

Этот сценарий:

• проверьте, действит ли токен для профиля tf_temp

• если токен действителен, извлеките токен из существующей конфигурации, используя aws configure get xxx --profile tf_temp

• если токен недействителен, предложите ввести токен mfa

• сгенерируйте токен сеанса с aws assume-role --token-code xxxx ... --profile your_profile

• установить токен временного профиля tf_temp с помощью aws configure set xxx --profile tf_temp

Вам придется:

~ / .aws / учетные данные

[prod]
aws_secret_access_key = redacted
aws_access_key_id = redacted

[tf_temp]

[tf]
credential_process = sh -c 'mfa.sh arn:aws:iam::{account_id}:role/{role} arn:aws:iam::{account_id}:mfa/{mfa_entry} prod 2> $(tty)'

mfa.sh

суть

переместите этот скрипт в /bin/mfa.sh или /usr/local/bin/mfa.sh:

#!/bin/sh
set -e

role=$1
mfa_arn=$2
profile=$3
temp_profile=tf_temp

if [ -z $role ]; then echo "no role specified"; exit 1; fi
if [ -z $mfa_arn ]; then echo "no mfa arn specified"; exit 1; fi
if [ -z $profile ]; then echo "no profile specified"; exit 1; fi

resp=$(aws sts get-caller-identity --profile $temp_profile | jq '.UserId')

if [ ! -z $resp ]; then
    echo '{
        "Version": 1,
        "AccessKeyId": "'"$(aws configure get aws_access_key_id --profile $temp_profile)"'",
        "SecretAccessKey": "'"$(aws configure get aws_secret_access_key --profile $temp_profile)"'",
        "SessionToken": "'"$(aws configure get aws_session_token --profile $temp_profile)"'",
        "Expiration": "'"$(aws configure get expiration --profile $temp_profile)"'"
    }'
    exit 0
fi
read -p "Enter MFA token: " mfa_token

if [ -z $mfa_token ]; then echo "MFA token can't be empty"; exit 1; fi

data=$(aws sts assume-role --role-arn $role \
                    --profile $profile \
                    --role-session-name "$(tr -dc A-Za-z0-9 </dev/urandom | head -c 20)" \
                    --serial-number $mfa_arn \
                    --token-code $mfa_token | jq '.Credentials')

aws_access_key_id=$(echo $data | jq -r '.AccessKeyId')
aws_secret_access_key=$(echo $data | jq -r '.SecretAccessKey')
aws_session_token=$(echo $data | jq -r '.SessionToken')
expiration=$(echo $data | jq -r '.Expiration')

aws configure set aws_access_key_id $aws_access_key_id --profile $temp_profile
aws configure set aws_secret_access_key $aws_secret_access_key --profile $temp_profile
aws configure set aws_session_token $aws_session_token --profile $temp_profile
aws configure set expiration $expiration --profile $temp_profile

echo '{
  "Version": 1,
  "AccessKeyId": "'"$aws_access_key_id"'",
  "SecretAccessKey": "'"$aws_secret_access_key"'",
  "SessionToken": "'"$aws_session_token"'",
  "Expiration": "'"$expiration"'"
}'

Используйте профиль tf в настройках провайдера. В первый раз вам будет предложен токен mfa:

# terraform apply
Enter MFA token: 428313

Это решение отлично работает с terraform и / или terragrunt.