Question

我试图在 CI/CD 管道中担任 AWS 角色，因此我必须编写一个脚本来通过脚本更改角色。下面是执行此操作的脚本，我使用 source <script>.sh 替换现有的 AWS 访问和秘密密钥，并添加会话密钥。

我通过在终端中回显它们来检查 3 个 env 变量是否存在。

#!/bin/bash

output="/tmp/assume-role-output.json"

aws sts assume-role --role-arn "arn:aws:iam::<account-id>:role/<rolename>" --role-session-name AWSCLI-Session > $output
AccessKeyId=$(cat $output | jq '.Credentials''.AccessKeyId')
SecretAccessKey=$(cat $output | jq '.Credentials''.SecretAccessKey')
SessionToken=$(cat $output | jq '.Credentials''.SessionToken')

export AWS_ACCESS_KEY_ID=$AccessKeyId
export AWS_SECRET_ACCESS_KEY=$SecretAccessKey
export AWS_SESSION_TOKEN=$SessionToken

但是，当我尝试运行一个简单的 aws 命令来列出 ECR 图像 aws ecr list-images --registry-id <id> --repository-name <name> 时，它给出了以下错误消息。

An error occurred (UnrecognizedClientException) when calling the ListImages operation: 
The security token included in the request is invalid.

我尝试在终端中手动设置 AWS 密钥和令牌，令人惊讶的是 ecr list 命令起作用了。

export AWS_ACCESS_KEY_ID="XXX"
export AWS_SECRET_ACCESS_KEY="XXX"
export AWS_SESSION_TOKEN="XXX"

有人知道我的脚本有什么问题吗？

Answer 1

如果您像这样使用 jq，您的导出值将包含引号，例如

"ASIASZHPM3IXQXXOXFOY"

然后：

ASIASZHPM3IXQXXOXFOY

为避免这种情况，您必须在 -r 中添加 jq 标志：

AccessKeyId=$(cat $output | jq -r '.Credentials''.AccessKeyId')
SecretAccessKey=$(cat $output | jq -r '.Credentials''.SecretAccessKey')
SessionToken=$(cat $output | jq -r '.Credentials''.SessionToken')

AWS 承担角色的 bash 脚本

1 个答案: