如何使用 AWS Cognito 检索正确的凭证以访问 boto3 客户端上的 AWS SecretsManger - 身份池

Question

我正在尝试使用运行 python3 (kivy) 的独立应用程序检索 AWS Secret（这是 boto3 配置）。

客户端使用 boto3 并且使用硬编码的凭据可以正常工作。

我正在尝试在 boto3 中使用 get_credentials_for_identity 获得信誉。

我创建了一个联合身份池并为其分配了一个访问 Secrets Manager 的策略：

{
    "Version": "2012-10-17",
    "Statement": {
        "Effect": "Allow",
        "Action": "secretsmanager:GetSecretValue",
        "Resource": "<arn-of-the-secret-the-app-needs-to-access>"
    }
}

我也使用通用 Cognito 角色做了同样的事情。 （知道这不是问题，但我敢肯定我们都在尝试解决问题时做傻事）。

client = boto3.client('cognito-identity', region_name='eu-west-1')
response = client.get_credentials_for_identity(
    #identity taken from fedenration/identity pools;app with cognito access
    IdentityId='eu-west-1:6###...',
)
creds_dic = response['Credentials']
awsaccesskey = creds_dic['AccessKeyId']
awsseckey = creds_dic['SecretKey']
print(response)
print(awsseckey)
print(awsaccesskey)

给我错误的AccessKeyId 和SecretKey，我什至找不到它提供的那些。我想我要的是持有此identity 的 IAM 的访问密钥/秘密，但我需要访问 secrets manager 的 IAM 角色的访问密钥/秘密，因此我可以将它们输入 boto3 和检索信用/秘密。

user pool 我也需要同样的设置，但一旦我意识到我在做的愚蠢，我就可以配置它。

Answer 1

Cognito 生成由 AWS STS 提供的新凭证。您将无法将这些凭证与您拥有的现有 IAM 生成凭证相匹配。要访问 AWS Secrets Manager API，请确保您的 Cognito 身份池的 Authenticated Role 具有足够的权限。