能否将AWS IAM配置文件挂载到Azure VM以访问AWS资源

方案1：模拟AWS IMDS实现EC2原生访问体验 #

这是最贴近EC2使用习惯的方案，完全不需要在Azure VM本地存储永久凭证，使用逻辑和EC2无差异：

• 核心逻辑是在Azure侧部署一个中转服务，模拟EC2实例元数据服务（IMDS）的接口规范
• 中转服务预先绑定有权限的AWS IAM角色，可自动生成、轮换临时访问凭证
• 在Azure VM内修改本地hosts或路由规则，将AWS IMDS默认地址169.254.169.254指向中转服务地址
• 中转服务校验请求来源为授权的Azure VM后，返回符合IMDS格式的临时凭证，AWS CLI、SDK可直接识别使用，无需额外配置

方案2：跨云身份联合免永久凭证配置 #

通过OIDC建立Azure AD和AWS IAM的信任关系，实现无永久凭证访问，安全性更高：

• 首先在AWS IAM中配置身份提供商，对接对应Azure租户的Azure AD OIDC端点
• 为Azure VM分配的Azure AD托管身份创建关联的AWS IAM角色，绑定所需的AWS资源访问权限
• 在Azure VM内通过Azure实例元数据服务获取Azure AD托管身份的token，调用AWS STS的assume-role-with-web-identity接口换取AWS临时凭证
• 可将上述逻辑封装为可执行文件，配置到AWS配置文件的credential_process参数中，AWS CLI、SDK会自动调用该程序获取凭证，无需手动维护
  配置示例：

  [profile azure-to-aws]
  credential_process = /opt/bin/fetch-aws-sts-token
  region = cn-northwest-1
  

方案3：直接挂载已有的AWS IAM配置文件 #

如果仅需要快速复用本地的IAM配置文件，可通过两种方式实现：

• 部署阶段通过Azure VM自定义数据（Custom Data）注入配置文件，VM初始化完成后自动写入对应用户的~/.aws目录
• 运行时通过Azure Files共享挂载：将配置文件存储在Azure Files共享中，在VM内将共享目录挂载到~/.aws路径，可实现多VM统一管理配置

注意：该方案不建议生产环境使用，若配置文件中存储了永久AKSK存在泄露风险，仅适合测试环境临时使用

内容的提问来源于stack exchange，提问作者ArigatoManga