aws-sdk-go, aws-sdk-go-v2 でMFAトークンによるAssumeRoleに対応する

1
2
3
4
5
6

# ~/.aws/credentials
# IAMユーザーのアクセスキー情報が hoge という名前のprofileで定義されている

[hoge]
aws_access_key_id=ACCESS_KEY_ID
aws_secret_access_key=SECRET_ACCESS_KEY

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13

# ~/.aws/config
# hoge profileのconfig（例ではregionのみ）と、
# hogeをsource_profileとするロール切替先のprofile=dev-hoge-role、
# の2つが定義されている

[profile hoge]
region=ap-northeast-1

[profile dev-hoge-role]
region=ap-northeast-1
source_profile=hoge
role_arn=arn:aws:iam::123456789012:role/DevHogeRole
mfa_serial=arn:aws:iam::987654321098:mfa/hoge.hugao

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27

// configを新規生成
config := aws.NewConfig()

// session.Options を使ってMFAによるAssumeRole設定を行う
sessOpts := session.Options{
  // 先程生成したconfigをセット
  Config:                  *config,

  // *切替先ロールの* profileをセット（source IAMユーザーのprofileではないので注意）
  Profile:                 profile,  // = dev-hoge-role

  // AssumeRole時のMFAトークン取得経路をセット。今回は標準入力を使う実装にしている
  // See: https://godoc.org/github.com/aws/aws-sdk-go/aws/session#hdr-Assume_Role_configuration
  AssumeRoleTokenProvider: stscreds.StdinTokenProvider,

  // MFA & AssumeRoleという文脈とは無関係だが、
  // 実行環境で AWS_SDK_LOAD_CONFIG 環境変数がセットされていなくても ~/.aws/config ファイルを自動で読み込んでくれるようにする為に、
  // このオプションを設定しておくと便利
  // See: https://godoc.org/github.com/aws/aws-sdk-go/aws/session#hdr-Shared_Config_Fields
  SharedConfigState: session.SharedConfigEnable,
}

// AssumeRole設定済のsession.Optionsを使ってsessionオブジェクトを生成
sess := session.Must(session.NewSessionWithOptions(sessOpts))

// sessionオブジェクトを使用する例： EC2クライアントの場合
ec2Client := ec2.New(sess)

1
2

$ lsec2 --profile hoge
Assume Role MFA token code: [2段階認証アプリ等から取得したトークンを入力する]

1
2
3
4
5
6
7
8
9

# ~/.aws/credentials

[default]
aws_access_key_id=ACCESS_KEY_ID
aws_secret_access_key=SECRET_ACCESS_KEY

[hoge]
:
:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10

# ~/.aws/config

[default]
region=ap-northeast-1

[profile hoge]
:

[profile dev-hoge-role]
:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16

// external.LoadDefaultAWSConfig を2つのオプション付きで呼び出す
cfg, err = external.LoadDefaultAWSConfig(
  // external.WithMFATokenFunc でMFAトークンの入力方法を設定する
  // stscreds.StdinTokenProvider は標準入力を使用するProvider
  external.WithMFATokenFunc(stscreds.StdinTokenProvider),

  // external.WithSharedConfigProfile でprofile名を設定する
  external.WithSharedConfigProfile(profile),
)

if err != nil {
  // エラー処理
}

// configオブジェクトを使用する例： EC2クライアントの場合
ec2Client := ec2.New(cfg)