AWS: Boto3: Ejemplo de AssumeRole que incluye el uso de roles

Indagamos por todo el mundo online y así traerte la solución a tu inquietud, si tienes preguntas puedes dejarnos tu pregunta y contestaremos sin falta.

Solución:

Puede asumir el rol usando el token STS, como:

class Boto3STSService(object):
    def __init__(self, arn):
        sess = Session(aws_access_key_id=ARN_ACCESS_KEY,
                       aws_secret_access_key=ARN_SECRET_KEY)
        sts_connection = sess.client('sts')
        assume_role_object = sts_connection.assume_role(
            RoleArn=arn, RoleSessionName=ARN_ROLE_SESSION_NAME,
            DurationSeconds=3600)
        self.credentials = assume_role_object['Credentials']

Esto le dará acceso temporal key y secreto keys, con token de sesión. Con estas credenciales temporales, puede acceder a cualquier servicio. Por ejemplo, si desea acceder a ELB, puede usar el siguiente código:

self.tmp_credentials = Boto3STSService(arn).credentials

def get_boto3_session(self):
    tmp_access_key = self.tmp_credentials['AccessKeyId']
    tmp_secret_key = self.tmp_credentials['SecretAccessKey']
    security_token = self.tmp_credentials['SessionToken']

    boto3_session = Session(
        aws_access_key_id=tmp_access_key,
        aws_secret_access_key=tmp_secret_key, aws_session_token=security_token
    )
    return boto3_session

def get_elb_boto3_connection(self, region):
    sess = self.get_boto3_session()
    elb_conn = sess.client(service_name='elb', region_name=region)
    return elb_conn

Aquí hay un fragmento de código de la documentación oficial de AWS donde un s3 se crea un recurso para listar todos s3 baldes boto3 los recursos o clientes para otros servicios se pueden construir de manera similar.

# create an STS client object that represents a live connection to the 
# STS service
sts_client = boto3.client('sts')

# Call the assume_role method of the STSConnection object and pass the role
# ARN and a role session name.
assumed_role_object=sts_client.assume_role(
    RoleArn="arn:aws:iam::account-of-role-to-assume:role/name-of-role",
    RoleSessionName="AssumeRoleSession1"
)

# From the response that contains the assumed role, get the temporary 
# credentials that can be used to make subsequent API calls
credentials=assumed_role_object['Credentials']

# Use the temporary credentials that AssumeRole returns to make a 
# connection to Amazon S3  
s3_resource=boto3.resource(
    's3',
    aws_access_key_id=credentials['AccessKeyId'],
    aws_secret_access_key=credentials['SecretAccessKey'],
    aws_session_token=credentials['SessionToken'],
)

# Use the Amazon S3 resource object that is now configured with the 
# credentials to access your S3 buckets. 
for bucket in s3_resource.buckets.all():
    print(bucket.name)

Para obtener una sesión con un rol asumido:

import botocore
import boto3
import datetime
from dateutil.tz import tzlocal

assume_role_cache: dict = 
def assumed_role_session(role_arn: str, base_session: botocore.session.Session = None):
    base_session = base_session or boto3.session.Session()._session
    fetcher = botocore.credentials.AssumeRoleCredentialFetcher(
        client_creator = base_session.create_client,
        source_credentials = base_session.get_credentials(),
        role_arn = role_arn,
        extra_args = 
        #    'RoleSessionName': None # set this if you want something non-default
        
    )
    creds = botocore.credentials.DeferredRefreshableCredentials(
        method = 'assume-role',
        refresh_using = fetcher.fetch_credentials,
        time_fetcher = lambda: datetime.datetime.now(tzlocal())
    )
    botocore_session = botocore.session.Session()
    botocore_session._credentials = creds
    return boto3.Session(botocore_session = botocore_session)

# usage:
session = assumed_role_session('arn:aws:iam::ACCOUNTID:role/ROLE_NAME')
ec2 = session.client('ec2') # ... etc.

Las credenciales de la sesión resultante se actualizarán automáticamente cuando sea necesario, lo cual es bastante bueno.

Nota: mi respuesta anterior fue completamente incorrecta, pero no puedo eliminarla, así que la reemplacé con una respuesta mejor y funcional.

Reseñas y calificaciones del tutorial

Si eres capaz, puedes dejar un tutorial acerca de qué le añadirías a este artículo.

---

---

Utiliza Nuestro Buscador