如何在AWS ECR中使用push_role推动帐户

Question

我想念什么？不管我尝试哪种语法，推向AWS ECR总是在主 /管理AWS帐户中降落。在AWS控制台中，我可以以适当的角色切换到该帐户。使用Terraform我可以设置paber_role.role_arn属性，以在正确的帐户中创建资源。但是，Docker和AWS CLI似乎没有配置或语法似乎有效。我显然缺少一个步骤，属性或全局选项。

如果我走Terraform路线，我可以做任何需要的事情。因此，我知道应该工作...

provider "aws" {
  region = "us-gov-west-1"
  shared_credentials_file = "~/.aws/credentials"
  profile = "govcloud"

  assume_role {
    role_arn = "arn:aws-us-gov:iam::123456789012:role/Build_Administrator"
  }
}

但是，我不想将Terraform用于将ECR推向ECR的简单任务。

不起作用...

[govcloud]
region = us-gov-west-1
output = json

[govcloud-assume]
region = us-gov-west-1
output = json
role_arn=arn:aws-us-gov:iam::123456789012:role/Build_Administrator

我已经尝试在cole> cole_arn属性中〜/.aws/config和 在任何其他情况下都 ，调用get-login-password/create-repository将利用当前配置的密钥，并将操纵配置的帐户...

aws ecr get-login-password | docker login --username AWS --password-stdin 123456789012.dkr.ecr.us-gov-west-1.amazonaws.com
aws ecr create-repository --repository-name "complexapi" --image-tag-mutability MUTABLE 

感觉好像应该有某种类型的类型设置目标帐户或cool_arn的全局选项，但是没有组合工作...

aws ecr get-login-password --profile govcloud-assume --region us-gov-west-1 | docker login --username AWS --password-stdin 123456789012.dkr.ecr.us-gov-west-1.amazonaws.com
aws ecr create-repository --profile govcloud-assume --region us-gov-west-1 --repository-name "complexapi" --image-tag-mutability MUTABLE 

更新1：
感觉就像我越来越近。设置访问密钥后，我可以成功调用aws sts pabil-pol-lole并返回凭据对象。只是不知道该怎么办。

更新2：
STS浪费时间，送我走了错误的道路。不要去那里。它不需要，将为AWS CLI污染您当地的验证环境。

Answer 1

要使用ECR使用AWS CLI的角色，您必须在脚本中使用- 配置文件属性，并构建〜/.aws/config 二属性在一起：roun_arn和source_profile

〜/.aws/config要求 acter ase 以及您希望与之合作的子帐户。此子帐户包含您希望在ARN cole_arn属性中保留ARN的角色。子帐户的配置文件是您将在脚本中引用的内容，但是配置还必须指向source_profile它将维护实际凭据：

[default]
region = us-gov-west-1
output = json

[profile gov-mgmt]
region = us-west-1
output = json

[profile gov-staging]
role_arn = arn:aws-us-gov:iam::123456789123:role/BuildBoxRole
source_profile = gov-mgmt
region = us-gov-west-1

您的〜/.aws/recertentials < /code>文件然后包含主帐户的键：

[gov-mgmt]
aws_access_key_id = ABCDEFGHIJKLMNOPQRST
aws_secret_access_key = abcdefghijklmnopqrstuvwxyz1234567890ab12

一旦到位，您的命令将引用包含您要假定的角色（目标帐户）的配置文件，并且在需要时，您使用该帐户ID。在get-login-password命令的示例中，AWC CLI通过sub-account的名称传递了- 配置文件属性。 Docker将从AWS CLI接收产生的密码，并按数字直接引用子帐户。

例如，以下是在子帐户中创建AWS ECR存储库的命令（请注意，同时使用了子帐户ID以及该帐户配置文件的名称）：

aws ecr get-login-password --profile gov-staging | docker login \
  --username AWS \
  --password-stdin 123456789123.dkr.ecr.us-gov-west-1.amazonaws.com

aws ecr create-repository \
  --profile gov-staging \
  --repository-name "complexapi" \
  --image-tag-mutability MUTABLE 

...以及按下图像所需的命令使用最新标签和一个正确的版本编号进入子账户的注册表中：

docker tag fredlackey/complexapi:0.0.0 \
  123456789012.dkr.ecr.us-gov-west-1.amazonaws.com/complexapi:0.0.0

docker tag fredlackey/complexapi:0.0.0 \
  123456789012.dkr.ecr.us-gov-west-1.amazonaws.com/complexapi:latest

aws ecr get-login-password \
  --profile gov-staging | docker login \
  --username AWS \
  --password-stdin 123456789012.dkr.ecr.us-gov-west-1.amazonaws.com

docker push 123456789012.dkr.ecr.us-gov-west-1.amazonaws.com/complexapi:0.0.0

docker push 123456789012.dkr.ecr.us-gov-west-1.amazonaws.com/complexapi:latest