使用Atlassian Bitbucket和AWS使用OIDC的错误

Question

我正在尝试将OIDC扮演角色和Web身份。我遵循了

如帖子的结尾所述，oidc在我使用时可以使用Atlassian Pipes，但它不适用于导出和AWS CLI选项。

  default:
    - step:
        name: Connect to AWS using OIDC
        oidc: true
        script:
          - export AWS_REGION=$AWS_REGION
          - export AWS_ROLE_ARN=arn:aws:iam::1234567890:role/MyRole
          - export AWS_WEB_IDENTITY_TOKEN_FILE=$(pwd)/web-identity-token
          - echo $BITBUCKET_STEP_OIDC_TOKEN > $(pwd)/web-identity-token
          - printenv BITBUCKET_STEP_OIDC_TOKEN
          - printenv AWS_REGION
          - printenv AWS_ROLE_ARN
          - aws sts assume-role-with-web-identity --role-arn arn:aws:iam::1234567890:role/MyRole --role-session-name build-session --web-identity-token "$BITBUCKET_STEP_OIDC_TOKEN" --duration-seconds 1000

printenv输出：

printenv AWS_REGION
us-east-2

printenv AWS_ROLE_ARN
arn:aws:iam::1234567890:role/MyRole

printenv BITBUCKET_STEP_OIDC_TOKEN
<nothing here>

错误：

An error occurred (AccessDenied) when calling the AssumeRoleWithWebIdentity operation: Not authorized to perform sts:AssumeRoleWithWebIdentity

但是，当我使用管道时，一切正常

  - pipe: atlassian/aws-s3-deploy:1.1.0
    variables:
      AWS_DEFAULT_REGION: $AWS_REGION # Optional if already defined in the context or OIDC used.
      AWS_OIDC_ROLE_ARN: $AWS_OIDC_ROLE_ARN # Optional by default. Required for OpenID Connect (OIDC) authentication.
      S3_BUCKET: mygreat-bucket
      LOCAL_PATH: 'build'
      CACHE_CONTROL: 'max-age=86400'

Answer 1

我偶然发现了同一件事 - Bitbucket Pipes可以与AWS OIDC一起使用，但脚本却没有。如果您检查特定的管道源代码，您会发现要担任角色的额外步骤几乎需要 - https://bitbucket.org/atlassian/aws-s3-deploy/src/master/pipe/pipe/pipe.sh#lines-35

与OIDC合作的部分，您需要这样做：

default:
- step:
    name: Connect to AWS using OIDC
    oidc: true
    script:
      - export AWS_REGION=$AWS_REGION
      - export AWS_ROLE_ARN=arn:aws:iam::1234567890:role/MyRole
      - export AWS_WEB_IDENTITY_TOKEN_FILE=$(pwd)/web-identity-token
      - echo $BITBUCKET_STEP_OIDC_TOKEN > $(pwd)/web-identity-token
      - aws configure set web_identity_token_file ${AWS_WEB_IDENTITY_TOKEN_FILE}
      - aws configure set role_arn ${AWS_ROLE_ARN}
      - unset AWS_ACCESS_KEY_ID
      - unset AWS_SECRET_ACCESS_KEY
      - printenv BITBUCKET_STEP_OIDC_TOKEN
      - printenv AWS_REGION
      - printenv AWS_ROLE_ARN

Answer 2

我遇到了类似的情况。我想使用AWS OIDC IAM角色在脚本中运行AWS CLI命令。似乎保持 oidc：true 不足以对AWS进行身份验证。

因此，作为使OIDC在脚本上工作的解决方法，我使用STS假设命令来获得临时凭据，并使用 jq linux工具来解析响应并使用它来配置AWS CLI。

default:
  - step
      name: Configure AWS CLI
      oidc: true
      script:
        - assume_role_response=$(aws sts assume-role-with-web-identity --role-arn arn:aws:iam::123456789012:role/myRole --role-session-name build-session  --web-identity-token "$BITBUCKET_STEP_OIDC_TOKEN" --duration-seconds 1000)
        - access_key_id=$(echo "$assume_role_response" | jq -r '.Credentials.AccessKeyId')
        - secret_access_key=$(echo "$assume_role_response" | jq -r '.Credentials.SecretAccessKey')
        - session_token=$(echo "$assume_role_response" | jq -r '.Credentials.SessionToken')
        - aws configure set aws_access_key_id "$access_key_id"
        - aws configure set aws_secret_access_key "$secret_access_key"
        - aws configure set aws_session_token "$session_token"
        - aws s3 ls

不知道还有其他更轻松的解决方案，但这对我有用。

Answer 3

如果我理解正确的话，导出这些ENV变量就足够了，您不需要更多的sTs假设 - with-web-nidentity命令。

只是尝试

pipelines:
  default:
    - step:
        name: Test OIDC
        oidc: true
        image: public.ecr.aws/aws-cli/aws-cli
        script:
          - export AWS_DEFAULT_REGION=my-region-0
          - export AWS_ROLE_ARN=arn:aws:iam::1234567890:role/MyRole
          - export AWS_WEB_IDENTITY_TOKEN_FILE=$(pwd)/web-identity-token
          - echo $BITBUCKET_STEP_OIDC_TOKEN > $AWS_WEB_IDENTITY_TOKEN_FILE
          - aws sts get-caller-identity

Answer 4

我刚刚遇到了这个问题，并通过删除一些我认为正在干扰的旧回购变量来修复： aws_access_key_id 和 aws_secret_access_key