Question

我刚刚转到使用Control Tower设置的多帐户，并且正在考虑使用Terraform在不同帐户中部署资源。

我的（简化的）帐户结构是：

|--Master
   |--management (backends etc)
   |--images     (s3, ecr)
   |--dev
   |--test

作为一个简化的实验，我试图在图像帐户中创建一个ecr。因此，我认为我需要创建一个策略以启用角色切换并在目标帐户中提供权限。目前，我手忙脚乱，只是想切换到管理员访问权限。 AWSAdministratorAccess角色由Control Tower在配置时创建。

provider "aws" {
   region  = "us-west-2"
   version = "~> 3.1"
}

data "aws_iam_group" "admins" { // want to attach policy to admins to switch role
   group_name = "administrators"
}


// Images account
resource "aws_iam_policy" "images-admin" {
  name        = "Assume-Role-Images_Admin"
  description = "Allow assuming AWSAdministratorAccess role on Images account"
  policy      = <<EOP
  {
     "Version": "2012-10-17",
        "Statement": [
          {
            "Effect": "Allow",
            "Action": [
              "sts:AssumeRole"
            ],
            "Resource": "arn:aws:iam::<Images_Account_ID>:role/AWSAdministratorAccess"
          }
        ]
      }
    EOP
   }

 resource "aws_iam_group_policy_attachment" "assume-role-images-admin" {
  group      = data.aws_iam_group.admins.group_name
  policy_arn = aws_iam_policy.images-admin.arn
 }

已部署了该堆栈，然后尝试部署另一个在映像帐户中创建资源的堆栈。

provider "aws" {
  region  = var.region
  version = "~>3.1"
}

provider "aws" { 
  alias   = "images"
  region  = var.region
  version = "~> 3.1"
  assume_role {
     role_arn = "arn:aws:iam::<Images_Account_ID>:role/AWSAdministratorAccess"
  }
}

resource "aws_ecr_repository" "boot-images" {
  provider             = aws.images
  name                 = "boot-images"
}

在部署时，我得到了：

> Error: error configuring Terraform AWS Provider: IAM Role (arn:aws:iam::*********:role/AWSAdministratorAccess) cannot be assumed.

There are a number of possible causes of this - the most common are:
  * The credentials used in order to assume the role are invalid
  * The credentials do not have appropriate permission to assume the role
  * The role ARN is not valid

Error: NoCredentialProviders: no valid providers in chain. Deprecated.
    For verbose messaging see aws.Config.CredentialsChainVerboseErrors

第一个：提供的凭据来自始终在单个帐户环境中工作的主帐户

第二：我认为通过附加政策已经实现了

第三：对此不太确定，但是帐户中存在AWSAdministratorAccess defo，我认为arn格式是正确的，而AWS Single Sign On将其称为权限集，控制台也将其描述为角色。

我发现Deploying to multiple AWS accounts with Terraform?很有帮助，但我在这里遗漏了一些东西。

我也不知道如何将这个想法扩展到将s3远程后端部署到我的“管理”帐户中。

Terraform版本0.12.29

Answer 1

结果这里有几个问题：

个人资料

凭据配置文件不正确。当仅使用creds文件失败时，在Env Vars中设置正确的creds可以让我运行一个简单的测试。这里仍然有一个我不理解的问题，因为更新creds文件也失败了，但是我的系统可以正常工作。

AWS创建的角色

虽然我正确地认为权限集已定义为“角色”，但它们具有的信任关系并未扩展到我的主管理员用户（我不好），并且由于由AWS自动创建，因此无法进行修改。锁定。

手动授予权限

因此，尽管我可以通过Terraform授予组权限以以编程方式承担角色，但我需要在目标帐户中手动创建一个角色，以将信任关系扩展到主帐户。

由AWS Control Tower创建的AWS多账户环境中的Terraform

1 个答案: