AWS Java SDK：EC2インスタンスプロファイルのAssumeRole？

Question

私はアプリケーションが存在するアカウントでEC2記述を持つIAMプロファイルを持つEC2インスタンス上で実行しています。また、別のアカウントのAssumeRoleも持っています（そのロールはEC2の記述も許可します）。ここでは主なアカウントの私のIAMの役割は次のようになります。

{ 
    "Version": "2012-10-17", 
    "Statement": [ 
     { 
      "Effect": "Allow", 
      "Action": "ec2:Describe*", 
      "Resource": "*" 
     }, 
     { 
      "Sid": "{SID}", 
      "Effect": "Allow", 
      "Action": [ 
       "sts:AssumeRole" 
      ], 
      "Resource": [ 
       "arn:aws:iam::{ACCT_NUM}:role/{ROLE_NAME}" 
      ] 
     } 
    ] 
} 

ここでセカンダリアカウントからIAMロールです：

{ 
    "Version": "2012-10-17", 
    "Statement": [ 
     { 
      "Effect": "Allow", 
      "Action": "ec2:Describe*", 
      "Resource": "*" 
     } 
    ] 
} 

は基本的に私は何をする必要があるか、両方からEC2インスタンスを取得することですアカウント。これは現在のSDKで可能ですか？現在のところ、プリンシパルアカウントからインスタンスを取得するだけです。

Answer 1

はい、SDKを使用できます。メイン（デフォルト）アカウントの資格情報を使用してEC2インスタンスを一覧表示したら、STSを使用してAssumeRole（）を呼び出してクロスアカウントの資格情報を取得します。それらのEC2インスタンスをリストします。

Answer 2

ec2:AssumeRoleを追加すると、アカウント間でコマンドが自動的に伝達されることはありません。

インスタンス情報を取得するAWSアカウント&地域ごとにec2:DescribeInstancesを一度呼び出す必要があります。

EC2のIAMロールは、プライマリアカウントにアクセスできるようにします。 ec2:DescribeInstancesをこれらの資格情報だけで呼出すと、その口座だけのEC2インスタンス情報が得られます。

次に、セカンダリアカウントの新しい資格情報を受け取るには、ec2:AssumeRoleに電話する必要があります。これらのアカウントを取得したら、そのアカウントを使用してec2:DescribeInstancesに電話してください。