Получение временных учетных данных для федерации

Описание

Возвращает набор временных учетных данных безопасности (состоящий из идентификатора ключа доступа, секретного ключа доступа и маркера безопасности) для пользователя. Типичное использование — в прокси-приложении, которое получает временные учетные данные безопасности от имени распределенных приложений внутри корпоративной сети.

Вы должны вызвать операцию GetFederationToken, используя долгосрочные учетные данные безопасности пользователя IAM. Таким образом, этот вызов подходит в контекстах, где эти данные могут быть защищены, обычно в приложении на сервере. Для сравнения GetFederationToken с другими операциями API, которые создают временные учетные данные, см. Запрос временных учетных данных безопасности и Сравнение учетных данных STS в руководстве пользователя IAM.

Хотя можно вызвать GetFederationToken, используя учетные данные безопасности учетной записи Amazon Web Services, а не пользователя IAM, которого вы создали для целей прокси-приложения, мы этого не рекомендуем. Дополнительную информацию см. в разделе Обеспечение безопасности учетных данных вашего root-пользователя и не используйте их для повседневных задач в руководстве пользователя IAM.

Временные учетные данные действительны в течение указанного периода времени, от 900 секунд (15 минут) до максимального значения 129 600 секунд (36 часов). По умолчанию продолжительность сессии составляет 43 200 секунд (12 часов). Временные учетные данные, полученные с помощью учетных данных root-пользователя, имеют максимальную продолжительность 3 600 секунд (1 час).

Вы можете использовать временные учетные данные, созданные GetFederationToken, в любом сервисе Amazon Web Services, за исключением следующих:

• Вы не можете вызывать какие-либо операции IAM с помощью командной строки или API Amazon Web Services. Это ограничение не относится к сессиям консоли.
• Вы не можете вызывать какие-либо операции STS, кроме GetCallerIdentity.

Вы можете использовать временные учетные данные для однократного входа (SSO) в консоль.

Вы должны передать политику сессии в виде встроенной или управляемой политики в эту операцию. Вы можете передать один JSON-документ политики в качестве встроенной политики сессии. Вы также можете указать до 10 управляемых имен ресурсов Amazon (ARN), которые будут использоваться в качестве управляемых политик сессии. Текст без форматирования, который вы используете для встроенных и управляемых политик сессии, не может превышать 2048 символов.

Хотя параметры политики сессии необязательны, если вы не передадите политику, результирующая сессия федеративного пользователя не будет иметь разрешений. Когда вы передаете политики сессии, разрешения сессии являются пересечением политик пользователя IAM и политик сессии, которые вы передаете. Это дает вам возможность дополнительно ограничить разрешения федеративного пользователя. Вы не можете использовать политики сессии для предоставления большего количества разрешений, чем те, которые определены в политике разрешений пользователя IAM. Дополнительную информацию см. в разделе Политики сессии в руководстве пользователя IAM. Сведения об использовании GetFederationToken для создания временных учетных данных безопасности см. в разделе GetFederationToken—Федерация с помощью пользовательского брокера идентификации.

Вы можете использовать учетные данные для доступа к ресурсу, имеющему политику на основе ресурса. Если эта политика конкретно ссылается на сессию федеративного пользователя в элементе Principal политики, сессия имеет разрешения, разрешенные политикой. Эти разрешения предоставляются дополнительно к разрешениям, предоставленным политиками сессии.

(Необязательно) Вы можете передать пары значений ключей тегов в свою сессию. Это теги сессии. Дополнительную информацию о тегах сессии см. в разделе Передача тегов сессии в STS в руководстве пользователя IAM.

Администратор должен предоставить вам разрешения, необходимые для передачи тегов сессии. Администратор также может создать детализированные разрешения, чтобы позволить вам передать только определенные теги сессии. Дополнительную информацию см. в разделе Учебник: Использование тегов для управления доступом на основе атрибутов в руководстве пользователя IAM.

Пары значений ключей тегов не чувствительны к регистру, но регистр сохраняется. Это означает, что у вас не может быть отдельных Department и department ключей тегов. Предположим, что пользователь, которого вы федерализируете, имеет тег Department = «Маркетинг», и вы передаете тег сессии department = «инженерия». Department и department не сохраняются как отдельные теги, и тег сессии, переданный в запросе, имеет приоритет над тегом пользователя.

См. также: Документация API AWS

Синтаксис

  get-federation-token
--name <value>
[--policy <value>]
[--policy-arns <value>]
[--duration-seconds <value>]
[--tags <value>]
[--cli-input-json | --cli-input-yaml]
[--generate-cli-skeleton <value>]
[--debug]
[--endpoint-url <value>]
[--no-verify-ssl]
[--no-paginate]
[--output <value>]
[--query <value>]
[--profile <value>]
[--region <value>]
[--version <value>]
[--color <value>]
[--no-sign-request]
[--ca-bundle <value>]
[--cli-read-timeout <value>]
[--cli-connect-timeout <value>]
[--cli-binary-format <value>]
[--no-cli-pager]
[--cli-auto-prompt]
[--no-cli-auto-prompt]

Параметры

--name (строка)

--policy (строка)

--policy-arns (список)

Сокращенная запись:

arn=string ...

Синтаксис JSON:

[
  {
    "arn": "string"
  }
  ...
]

--duration-seconds (целое число)

--tags (список)

Сокращенная запись:

Key=string,Value=string ...

Синтаксис JSON:

[
  {
    "Key": "string",
    "Value": "string"
  }
  ...
]

--cli-input-json | --cli-input-yaml (строка) Считывает аргументы из переданной строки JSON. Строка JSON соответствует формату, предоставленному --generate-cli-skeleton. Если на командной строке указаны другие аргументы, эти значения переопределят значения из JSON. Передать произвольные двоичные значения с помощью значения, предоставленного в JSON, невозможно, так как строка будет воспринята буквально. Этот параметр не может быть указан вместе с --cli-input-yaml.

--generate-cli-skeleton (строка) Выводит JSON-скелет в стандартный вывод без отправки запроса API. При отсутствии значения или значении input выводит пример JSON-ввода, который может использоваться в качестве аргумента для --cli-input-json. Аналогично, если указано yaml-input, он выведет пример YAML-ввода, который можно использовать с --cli-input-yaml. Если указано значение output, оно валидирует входные данные команды и возвращает пример JSON-вывода для этой команды. Сгенерированный JSON-скелет не стабилен между версиями AWS CLI, и нет гарантий обратной совместимости в генерируемом JSON-скелете.

Общие параметры

--debug (boolean)

Включить отладку логов.

--endpoint-url (string)

Переопределить URL по умолчанию команды заданным URL.

--no-verify-ssl (boolean)

По умолчанию, AWS CLI использует SSL при общении с AWS-сервисами. Для каждого SSL-соединения AWS CLI будет проверять SSL-сертификаты. Этот параметр переопределяет поведение по умолчанию проверки SSL-сертификатов.

--no-paginate (boolean)

Отключить автоматическую постраничную навигацию. Если автоматическая постраничная навигация отключена, AWS CLI выполнит только один вызов для первой страницы результатов.

--output (string)

Стиль форматирования вывода команд.

• json
• text
• table
• yaml
• yaml-stream

--query (string)

Запрос JMESPath для фильтрации данных ответа.

--profile (string)

Использовать конкретный профиль из файла аутентификации.

--region (string)

Регион для использования. Переопределяет настройки из конфигурации/окружения.

--version (string)

Отобразить версию этого инструмента.

--color (string)

Включить/выключить цветной вывод.

• on
• off
• auto

--no-sign-request (boolean)

Не подписывать запросы. Кредиты не будут загружены, если этот аргумент предоставлен.

--ca-bundle (string)

Файл с сертификатами CA для проверки SSL-сертификатов. Переопределяет настройки из конфигурации/окружения.

--cli-read-timeout (int)

Максимальное время чтения сокета в секундах. Если значение установлено в 0, чтение сокета будет блокирующим и без таймаута. Значение по умолчанию - 60 секунд.

--cli-connect-timeout (int)

Максимальное время подключения сокета в секундах. Если значение установлено в 0, подключение сокета будет блокирующим и без таймаута. Значение по умолчанию - 60 секунд.

--cli-binary-format (string)

Стиль форматирования для двоичных блоков. Формат по умолчанию - base64. Формат base64 ожидает, что двоичные блоки будут представлены как строка, закодированная в base64. Формат raw-in-base64-out сохраняет совместимость с поведением AWS CLI V1, и двоичные значения должны передаваться буквально. При предоставлении содержимого из файла, соответствующего двоичному блоку, fileb:// всегда будет обрабатываться как двоичный и будет использовать содержимое файла напрямую независимо от настройки cli-binary-format. При использовании file:// содержимое файла должно быть должным образом отформатировано для настроенного cli-binary-format.

• base64
• raw-in-base64-out

--no-cli-pager (boolean)

Отключить вывод пейджера CLI.

--cli-auto-prompt (boolean)

Автоматически запросить параметры ввода CLI.

--no-cli-auto-prompt (boolean)

Отключить автоматическое запроса параметров ввода CLI.

Примеры

Для получения набора временных учетных данных безопасности с использованием ключей доступа к учетным данным пользователя IAM

Следующий get-federation-token пример возвращает набор временных учетных данных безопасности (состоящих из идентификатора ключа доступа, секретного ключа доступа и токена безопасности) для пользователя. Вам необходимо вызвать операцию GetFederationToken с использованием долгосрочных учетных данных безопасности пользователя IAM.

aws sts get-federation-token \
    --name Bob \
    --policy file://myfile.json \
    --policy-arns arn=arn:aws:iam::aws:policy/AmazonS3ReadOnlyAccess \
    --duration-seconds 900

Содержимое myfile.json:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ec2:Describe*",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "elasticloadbalancing:Describe*",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloudwatch:ListMetrics",
                "cloudwatch:GetMetricStatistics",
                "cloudwatch:Describe*"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "autoscaling:Describe*",
            "Resource": "*"
        }
    ]
}

Вывод:

{
    "Credentials": {
        "AccessKeyId": "ASIAIOSFODNN7EXAMPLE",
        "SecretAccessKey": "wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY",
        "SessionToken": "EXAMPLEpZ2luX2VjEGoaCXVzLXdlc3QtMiJIMEYCIQC/W9pL5ArQyDD5JwFL3/h5+WGopQ24GEXweNctwhi9sgIhAMkg+MZE35iWM8s4r5Lr25f9rSTVPFH98G42QQunWMTfKq0DCOP//////////wEQAxoMNDUyOTI1MTcwNTA3Igxuy3AOpuuoLsk3MJwqgQPg8QOd9HuoClUxq26wnc/nm+eZLjHDyGf2KUAHK2DuaS/nrGSEXAMPLE",
        "Expiration": "2023-12-20T02:06:07+00:00"
    },
    "FederatedUser": {
        "FederatedUserId": "111122223333:Bob",
        "Arn": "arn:aws:sts::111122223333:federated-user/Bob"
    },
    "PackedPolicySize": 36
}

Дополнительная информация представлена в разделе Запрос временных учетных данных безопасности в Руководстве пользователя AWS IAM.

Вывод

Credentials -> (структура)

FederatedUser -> (структура)

PackedPolicySize -> (целое число)