amazon-web-services - 具有 IAM 角色的 EC2 实例仍然可以执行 AssumeRole 吗？

Question

我知道 EC2 实例不能同时承担两个 IAM 角色。但是 STS AssumeRole 如何适应这一点？如果我的实例已经附加了一个角色，它还能做 AssumeRole 吗？

我有一个实例每秒向 DynamoDB 发送数百个请求，它具有能够与 DynamoDB 通信的作用。现在我需要从 S3 获取数据，每秒几次。我可以使用 AssumeRole 获取访问 S3 的临时凭证，仅用于对 S3 的请求（如果有这样的事情），还是我需要修改现有角色，添加访问 S3 的权限？我宁愿避免使用第二种选择。

标签： amazon-web-servicesamazon-iamroles

Answer 1

如果我的实例已经附加了一个角色，它还能做 AssumeRole 吗？

是的，但是您必须从您的应用程序中显式调用 AssumeRole。而且现有的实例角色必须具有实际的权限AssumeRole。

我可以使用 AssumeRole 获取访问 S3 的临时凭据吗？

是的，但正如解释的那样，您必须明确承担该角色，并且当前实例角色必须具有这样做的权限。