假设使用用户名和密码的IAM角色

Question

在实例或任何其他地方存储永久IAM访问凭证（密钥，密钥）似乎真的不安全。

我理解角色的方式 - 如果我能够使用角色管理执行某些任务的权限，那将是有意义的：

• 设置角色，设置用户组以获得该角色的权限，将用户添加到该组
• 从命令行输入类似“ec2_assume_role rolename time_till_expiration”
• 然后在提示符下输入我的用户名和pwd
• 获取那些临时密钥（可以脚本将它们直接设置到env中）

根据我在IAM文档中发现的内容 - 假设角色需要一组键 - 所以并不是真正意义上的人。我可以设置一个服务器来启用与上面类似的东西，但服务器必须存储自己的密钥或至少存储在内存中，而且我必须复制IAM已经做得很好的用户名/密码管理。

我是否遗漏/误解了什么？

谢谢

Answer 1

听起来你正在寻找Token Vending Machine。

  

令牌自动售货机（TVM）是基于服务器的参考   为远程客户端提供临时凭证的应用程序   签署对Amazon Web Services（AWS）的Web请求。 TVM是   对于使用临时的移动客户端设备特别有用   访问AWS的凭据。 AWS SDK for Android和AWS   SDK for iOS提供了一个示例客户端，您的移动应用程序可以使用它   用于访问TVM并接收安全令牌。