現在、AWSアクセス用のC#アプリの制作をしていますが、Roleの切り替えで行き詰っています。
AWSの公式情報や言語違いも含めて色々なサイトを調べたのですが、MFAと併用しているものが見受けられず、失敗する原因を把握できていません。
根本の理解が不足しており恐縮ですが、実施方法についてご存じの方がいらっしゃいましたらご教示お願いします。
現状
出来ている事
- AWSアカウントを複数所持しており、内一つがRoleを利用している。
- AWSのアクセスには全てのアカウントでMFAを利用している。
- 使用したいRoleにはExternalIdは設定されていない。
- Roleを利用しないアカウントでの認証は成功しており、S3のアクセスが確認できている。
- CLIを利用したサービスでは、Roleを指定して実行が出来ている。
出来ていない事,できない原因として想定している内容
- 調べた結果、AssumeRoleRequestの関数を利用すると考えているが、どのタイミングで使用すれば正しいか分からない。
- 記載場所が違う(MFA認証前など)
- メッセージの内容を見る限り、MFA認証したユーザーをルートユーザーとしてRoleを切り替え出来ていないのではないか
- CLIで利用しているように --profile test のような形で、S3の関数を実行中に毎回指定してやる必要があるかもしれない
以下がコード等の情報になります。一部コードを省略(:)して、機密情報は書き換えています。
AWSの情報
AWS Account
RootUserID = 9876-5432-1098
RootUserName = [email protected]
RoleUserID = 0123-4567-8901
RoleUserName = Test_Role_User
信頼されたエンティティ
{
"version":2012-10-17
"Statement" : [
{
"Effect" : "Allow"
"Principal" : {
"AWS": "arn:aws:iam::987654321098:root"
},
"Action":"sts:AssumeRole",
"Condition":{}
}
]
}
ローカルファイル ※CLIで利用できている。
<.aws\credentials>
[default]
aws_access_key_id=ABCDEGHOJKLM
aws_secret_access_key=11AA22bb33CC44dd
region=ap-northeast-1
<.aws\config>
[default]
region = ap-northeast-1
output = json
[profile test]
role_arn = arn:aws:iam::012345678901:role/Test_Role_User
source_profile=default
region = ap-northeast-1
コード C#
//AWSSDK.Core version3.3.0.0 Runtimeversionv4.0.30319
//AWSSDK.S3 version3.3.0.0 Runtimeversionv4.0.30319
//AWSSDK.SequrityToken version3.3.0.0 Runtimeversionv4.0.30319
//.netframework4.6.2
:
using Amazon;
using Amazon.Runtime.CredentialManagement;
using Amazon.Runtime;
using Amazon.S3;
using Amazon.S3.Model;
using Amazon.S3.Transfar;
using Amazon.S3.IO
namespace AWSTool
{
public class AWSAccess{
public static async Task AWSAuth()
{
var credOption = new CredentialProfileOption();
var credentailsFile = new SharedCredentialsFile();
credOption.AccessKey = "ABCDEGHOJKLM";
credOptionSecretKey = "11AA22bb33CC44dd";
var profile = new CredentialProfile("default",credOption);
progile.Region = RegionEndpoint.GetBySystemName("ap-northeast-1");
credentialsFile.RegisterProfile(profile);
if(credentialsFile.TryGetProfile("default",out profile) == false)
Console.WriteLine("プロファイル名が見つかりません")
AWSCredentials awsCredentials = null;
if(AWSCredentialsFactory.TryGetAWSCredentials(profile,credentialsFile,out awsCredentials) ==
false)
Console.WriteLine("認証情報生成に失敗しました")
string Token = "XXXXXX" //別のライブラリで生成されるTokenコード
var stsClient = new AmazonSecurityTokenServiceClient();
var getSessionRequest = new GetSessionTokenRequest();
getSessionRequest.DurationSecounds = 3600;
getSessionRequest.SerialNumber = "arn:aws:iam::987654321098:mfa/[email protected]"
getSessionRequest.TokenCode = "XXXXXX"
GetSessionTokenResponse getSessionTolenResponse = stsClient.GetSessionToken(getSessionTokenRequest);
string tempAccessKeyId = getSessionTokenResponse.Credentails.AccessKeyId;
string tempSessionAccessKey = GetSessionTokenResponse.Credentails.SecretAccessKey;
string tempSessionToken = getSessionTokenResponse.Credentails.SessionToken;
SessionAWSCredentials tempCredentials = new SessionAWSCredentials(tempAccessKeyId,tempSessionAccessKey,tempSessionToken)
//AsumeRoleをMFA認証後に実施 ここから
AssumeRoleRequest assumeRoleRequest = new AssumeRoleRequest()
{
DurationSecounds = 1600,
RoleArn = "arn:aws:iam::012345678901:role/Test_Role_User",
RoleSessionName = "TestSession"
}
var RoleResponse = await stsClient.AssumeRoleAsync(AssumeRoleRequest);
//↑ここで失敗して以下メッセージ
//User:arn:aws:iam::987654321098:user/[email protected] is not authorized to perform: sts:AssumeRole on resource arn:aws:iam::012345678901::role/Test_Role_User
//ここまで
var AWSS3client = new AmazonS3Client(tempCredentials);
AWSS3GetBucketList(AWSS3client); //別の関数でS3のバケット一覧を取得
}
:
}
}