get-session-token

Описание

Возвращает набор временных учетных данных для учетной записи Amazon Web Services или пользователя IAM. Учетные данные состоят из идентификатора ключа доступа, секретного ключа доступа и маркера безопасности. Как правило, вы используете GetSessionToken, если хотите использовать MFA для защиты программных вызовов к определённым операциям API Amazon Web Services, таким как Amazon EC2 StopInstances.

Пользователи IAM с включённой MFA должны вызывать GetSessionToken и предоставить код MFA, связанный с их устройством MFA. Используя временные учетные данные безопасности, возвращаемые вызовом, пользователи IAM могут выполнять программные вызовы к операциям API, требующим аутентификацию MFA. Неверный код MFA приводит к возврату API ошибки отказа в доступе. Для сравнения GetSessionToken с другими операциями API, создающими временные учетные данные, см. Запрос временных учетных данных безопасности и Сравнение учетных данных STS в руководстве по IAM.

Для выполнения операции GetSessionToken необходимо использовать долгосрочные учетные данные безопасности Amazon Web Services пользователя IAM. Учетные данные, созданные пользователями IAM, действительны в течение указанного вами периода. Этот период может составлять от 900 секунд (15 минут) до максимальных 129 600 секунд (36 часов), по умолчанию — 43 200 секунд (12 часов). Учетные данные, основанные на учетных данных учётной записи, могут составлять от 900 секунд (15 минут) до 3600 секунд (1 час), по умолчанию — 1 час.

Временные учетные данные безопасности, созданные GetSessionToken, могут быть использованы для выполнения вызовов API к любому сервису Amazon Web Services, за исключением следующих случаев:

• Вы не можете вызывать какие-либо операции API IAM, если информация об аутентификации MFA не включена в запрос.
• Вы не можете вызывать какие-либо операции API STS, кроме AssumeRole или GetCallerIdentity.

Учетные данные, которые возвращает GetSessionToken, основаны на разрешениях, связанных с пользователем IAM, чьи учетные данные были использованы для вызова операции. Временные учетные данные имеют те же разрешения, что и пользователь IAM.

Дополнительную информацию об использовании GetSessionToken для создания временных учетных данных см. в разделе Временные учетные данные для пользователей в ненадежных средах в руководстве по IAM.

См. также: Документация по API AWS

Синтаксис

  get-session-token
[--duration-seconds <value>]
[--serial-number <value>]
[--token-code <value>]
[--cli-input-json | --cli-input-yaml]
[--generate-cli-skeleton <value>]
[--debug]
[--endpoint-url <value>]
[--no-verify-ssl]
[--no-paginate]
[--output <value>]
[--query <value>]
[--profile <value>]
[--region <value>]
[--version <value>]
[--color <value>]
[--no-sign-request]
[--ca-bundle <value>]
[--cli-read-timeout <value>]
[--cli-connect-timeout <value>]
[--cli-binary-format <value>]
[--no-cli-pager]
[--cli-auto-prompt]
[--no-cli-auto-prompt]

Параметры

--duration-seconds (целое число)

--serial-number (строка)

--token-code (строка)

--cli-input-json | --cli-input-yaml (строка) Читает аргументы из предоставленной JSON-строки. JSON-строка следует формату, предоставленному --generate-cli-skeleton. Если на командной строке предоставлены другие аргументы, эти значения переопределяют значения, предоставленные JSON. Невозможно передавать произвольные двоичные значения с помощью значения, предоставленного JSON, так как строка будет взята буквально. Это не может быть указано вместе с --cli-input-yaml.

--generate-cli-skeleton (строка) Выводит JSON-скелет в стандартный вывод без отправки запроса API. Если предоставлено значение без значения или значение input, выводит пример JSON ввода, который может быть использован в качестве аргумента для --cli-input-json. Аналогично, если предоставлено значение yaml-input, оно выведет пример YAML ввода, который можно использовать с --cli-input-yaml. Если предоставлено значение output, оно проверяет входные данные команды и возвращает пример выходного JSON для этой команды. Сгенерированный JSON-скелет не является стабильным между версиями AWS CLI, и нет гарантий обратной совместимости в сгенерированном JSON-скелете.

Глобальные параметры

--debug (булево)

Включить отладовую запись журнала.

--endpoint-url (строка)

Переопределить URL по умолчанию команды заданным URL.

--no-verify-ssl (булево)

По умолчанию AWS CLI использует SSL при общении с сервисами AWS. Для каждого подключения SSL AWS CLI будет проверять сертификаты SSL. Этот параметр переопределяет поведение проверки сертификатов SSL по умолчанию.

--no-paginate (булево)

Отключить автоматическую постраничную навигацию. Если автоматическая постраничная навигация отключена, AWS CLI сделает только один вызов для первой страницы результатов.

--output (строка)

Стиль форматирования вывода команды.

• json
• текст
• таблица
• yaml
• yaml-поток

--query (строка)

Запрос JMESPath для фильтрации данных ответа.

--profile (строка)

Использование определенного профиля из файла учетных данных.

--region (строка)

Регион для использования. Переопределяет настройки конфигурации/среды.

--version (строка)

Отображение версии этого инструмента.

--color (строка)

Включение/выключение цветного вывода.

• вкл
• выкл
• авто

--no-sign-request (булево)

Не подписывать запросы. Учетные данные не будут загружены, если этот аргумент предоставлен.

--ca-bundle (строка)

Файл с пакетом сертификатов CA для проверки сертификатов SSL. Переопределяет настройки конфигурации/среды.

--cli-read-timeout (целое число)

Максимальное время чтения сокета в секундах. Если значение равно 0, чтение сокета будет блокирующим и не будет иметь таймаут. Значение по умолчанию — 60 секунд.

--cli-connect-timeout (целое число)

Максимальное время подключения сокета в секундах. Если значение равно 0, подключение сокета будет блокирующим и не будет иметь таймаут. Значение по умолчанию — 60 секунд.

--cli-binary-format (строка)

Стиль форматирования, используемый для двоичных блоков. Формат по умолчанию — base64. Формат base64 ожидает, что двоичные блоки будут предоставлены как закодированная строка base64. Формат raw-in-base64-out сохраняет совместимость с поведением AWS CLI версии 1, и двоичные значения должны передаваться буквально. При предоставлении содержимого из файла, сопоставленного с двоичным блоком fileb://, всегда будет обрабатываться как двоичный и использовать содержимое файла непосредственно независимо от настройки cli-binary-format. При использовании file:// содержимое файла должно быть должным образом отформатировано для настроенного cli-binary-format.

• base64
• raw-in-base64-out

--no-cli-pager (булево)

Отключить вывод пейджера CLI.

--cli-auto-prompt (булево)

Автоматический запрос параметров ввода CLI.

--no-cli-auto-prompt (булево)

Отключить автоматический запрос параметров ввода CLI.

Примеры

Получение набора краткосрочных учетных данных для идентификатора IAM

Следующая команда get-session-token извлекает набор краткосрочных учетных данных для идентификатора IAM, выполняющего вызов. Результирующие учетные данные могут быть использованы для запросов, где политика требует многофакторной аутентификации (MFA). Учетные данные истекают через 15 минут после их создания.

aws sts get-session-token \
    --duration-seconds 900 \
    --serial-number "YourMFADeviceSerialNumber" \
    --token-code 123456

Вывод:

{
    "Credentials": {
        "AccessKeyId": "ASIAIOSFODNN7EXAMPLE",
        "SecretAccessKey": "wJalrXUtnFEMI/K7MDENG/bPxRfiCYzEXAMPLEKEY",
        "SessionToken": "AQoEXAMPLEH4aoAH0gNCAPyJxz4BlCFFxWNE1OPTgk5TthT+FvwqnKwRcOIfrRh3c/LTo6UDdyJwOOvEVPvLXCrrrUtdnniCEXAMPLE/IvU1dYUg2RVAJBanLiHb4IgRmpRV3zrkuWJOgQs8IZZaIv2BXIa2R4OlgkBN9bkUDNCJiBeb/AXlzBBko7b15fjrBs2+cTQtpZ3CYWFXG8C5zqx37wnOE49mRl/+OtkIKGO7fAE",
        "Expiration": "2020-05-19T18:06:10+00:00"
    }
}

Дополнительную информацию см. в разделе Запрос временных учетных данных безопасности в руководстве по IAM AWS.

Вывод

Учетные данные -> (структура)