老范的自言自语 Walter's Solo

What’s AWS Roles Anywhere and how it works

January 9, 2025 by walter

AWS Roles Anywhere 是什么？

AWS Identity and Access Management (IAM) Roles Anywhere 是 AWS 提供的一项功能，允许用户的本地服务器或外部环境（如私有云、数据中心）使用 IAM 角色 授权访问 AWS 服务，而无需在这些环境中存储长期凭证（如访问密钥和密钥对）。

AWS Roles Anywhere 的用途

1. 跨平台统一身份管理：

   • 为非 AWS 环境（如私有云、数据中心）提供与 AWS 云资源一致的身份和权限管理。

2. 消除长期凭证风险：

   • 不需要在本地或外部环境中存储长期的 AWS 密钥，降低凭证泄漏的风险。

3. 安全地访问 AWS 服务：

   • 本地环境通过签名的 X.509 证书和信任策略，动态获得 IAM 角色的临时凭证，用于访问 AWS 服务。

4. 支持混合云架构：

   • 适用于跨 AWS 云和本地环境的混合部署场景。

AWS Roles Anywhere 的工作原理

1. 配置信任关系

• 用户在 AWS 中创建 IAM 角色，并允许 AWS Roles Anywhere 假设该角色。

2. 配置信任锚点

• 信任锚点是 AWS Roles Anywhere 用来验证外部环境的公钥证书（通常由认证机构 CA 签发的 X.509 证书）。
• 用户将 CA 的根证书上传到 AWS Roles Anywhere 作为信任锚点。

3. 客户端凭证请求

• 本地服务器或外部系统使用其签名的证书，向 Roles Anywhere 服务请求临时凭证。

4. 颁发临时凭证

• Roles Anywhere 验证证书和信任锚点，确定请求者身份。
• 根据配置的 IAM 角色和策略，生成临时凭证（Access Key、Secret Key 和 Session Token）。

5. 访问 AWS 服务

• 临时凭证被返回给本地服务器。
• 本地服务器使用这些凭证访问 AWS 资源。

AWS Roles Anywhere 的核心组件

1. IAM Role（角色）:

   • 定义哪些资源可以访问以及允许的操作。
   • 配置信任策略，允许 AWS Roles Anywhere 假设角色。

2. Trust Anchor（信任锚点）:

   • 是 AWS 中的一个配置，用来验证外部环境的 X.509 证书。
   • 必须是可信认证机构（CA）的根证书。

3. Certificate（证书）:

   • 本地服务器或外部系统使用的 X.509 客户端证书。

4. AWS Roles Anywhere 服务:

   • 验证外部环境的证书，并生成临时凭证。

AWS Roles Anywhere 的使用场景

1. 本地服务器访问 AWS 服务:

   • 企业数据中心中的服务器通过 AWS Roles Anywhere 安全访问 AWS S3 或其他资源。

2. 混合云集成:

   • 在混合云架构中，私有云环境通过 AWS Roles Anywhere 与 AWS 服务通信。

3. 临时凭证管理:

   • 替代长期密钥（如 Access Key 和 Secret Key）进行动态身份验证。

AWS Roles Anywhere 的配置步骤

1. 创建 IAM 角色

• 创建一个 IAM 角色，并配置信任策略允许 AWS Roles Anywhere 假设角色：

  {
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "rolesanywhere.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
  }

• 配置 IAM 策略，授予角色访问 AWS 资源的权限。

2. 配置信任锚点

• 使用 CA 的根证书创建信任锚点：

  aws rolesanywhere create-trust-anchor \
    --name MyTrustAnchor \
    --source "sourceType=AWS_CERTIFICATE_MANAGER,sourceArn=arn:aws:acm:..."

3. 下载 AWS Roles Anywhere 客户端

• 下载并安装客户端工具（如 aws_signer）。
• 客户端负责生成签名的凭证请求。

4. 本地环境发起凭证请求

• 使用客户端工具请求临时凭证：

  aws_signer get-credentials \
    --certificate  \
    --role-arn "arn:aws:iam::123456789012:role/MyRole" \
    --trust-anchor-arn "arn:aws:rolesanywhere::123456789012:trust-anchor/MyTrustAnchor"

5. 使用临时凭证访问 AWS 服务

• 使用获取的 Access Key、Secret Key 和 Session Token 访问 AWS 资源：

  AWS_ACCESS_KEY_ID=AKIA...
  AWS_SECRET_ACCESS_KEY=SECRET...
  AWS_SESSION_TOKEN=TOKEN...
  aws s3 ls s3://my-bucket

AWS Roles Anywhere 的优势

1. 无长期凭证：

   • 提高安全性，避免长期存储 AWS 凭证的风险。

2. 动态凭证：

   • 提供按需生成的短期凭证，增强访问控制的灵活性。

3. 信任灵活：

   • 支持基于 CA 的信任模型，易于与企业 PKI（公钥基础设施）集成。

4. 跨平台支持：

   • 支持从任何拥有证书的本地系统访问 AWS。

5. 安全合规：

   • 提供对访问请求的详细日志和审核能力。

总结

AWS Roles Anywhere 是 AWS 提供的一项安全服务，旨在帮助用户在本地或非 AWS 环境中安全地访问 AWS 资源。通过使用基于证书的身份验证和动态凭证，它在混合云和多环境部署中提供了一种灵活而高效的解决方案，同时增强了安全性和合规性。

Comments |0|