如何配置Terraform AWS Provider以依托ADFS登录实现AWS部署

该场景存在完全可落地的配置方案，整体复用你现有的ADFS-AWS SAML联合身份体系，不需要在AWS侧、Terraform侧新增长期硬编码的访问密钥，就能和现有控制台的角色扮演鉴权流程打通。

核心实现原理 #

Terraform本身不需要内置专门的ADFS对接能力，因为AWS Provider原生支持识别AWS STS签发的SAML联合临时凭证。整个鉴权链路和你现在通过浏览器登录ADFS、跳转控制台选择IAM角色的流程逻辑完全一致，只是把浏览器端的SAML交互、凭证交换环节，替换为本地CLI工具完成，最终把拿到的临时会话凭证传递给Terraform即可。整个流程不需要在本地或Terraform配置中留存长期固定的AWS访问密钥，和企业现有基于ADFS的统一身份管控体系完全适配。

具体落地配置步骤 #

• 前置配置对齐：复用现有已验证可用的ADFS-AWS SAML配置即可，不需要做额外调整。只要确认IAM侧已经正确注册ADFS为SAML身份提供商，对应IAM角色的信任策略允许该IDP的断言，且ADFS侧配置了正确的SAML属性传递（包含角色ARN、角色会话名称等必要字段），满足浏览器端正常登录的配置即可全部复用。
• 本地鉴权辅助工具准备：因为Terraform本身不会直接唤起ADFS的登录交互页面，需要通过CLI工具完成SAML登录、换临时凭证的流程：
  • 可选用aws-adfs这类成熟的开源CLI工具，运行后会自动唤起本地浏览器打开ADFS登录页，完成账号校验、MFA认证后，工具会自动解析返回的SAML断言，调用AWS STS接口换取目标IAM角色对应的临时凭证。
  • 如果是企业统一管控终端环境，也可使用配套的企业SSO CLI组件，逻辑和上述开源工具一致，仅额外增加终端合规校验的能力，适配企业的安全管控要求。
• Terraform Provider侧的无特殊适配：AWS Provider对临时会话凭证的识别是原生支持的，不需要写自定义的认证代码：
  • 不需要在Terraform的provider "aws"块中硬编码长期access_key、secret_key字段。
  • 辅助工具换凭证后自动注入的环境变量AWS_ACCESS_KEY_ID、AWS_SECRET_ACCESS_KEY、AWS_SESSION_TOKEN，会被AWS Provider自动识别加载，和你直接用AWS CLI操作的鉴权逻辑完全一致。
  • 如果需要切换不同的部署角色，只需要在运行辅助工具时指定对应的目标IAM角色ARN，重新完成一次ADFS认证换凭证，再执行Terraform命令即可，不需要修改Terraform代码逻辑。

落地常见注意事项 #

• 临时凭证的有效期完全和ADFS侧配置的会话时长一致，如果Terraform部署任务运行周期超过凭证有效期，需要重新执行一次辅助工具的换凭证流程再续跑任务，禁止把临时凭证硬编码到配置文件、持久化的环境变量中。
• 如果ADFS开启了强制MFA校验，要确认选用的辅助工具可以完整透传ADFS的登录流程跳转，不要使用伪造SAML断言的非交互式模拟方案，避免被ADFS的访问安全策略拦截。
• 要做好日志管控，避免Terraform运行时的调试日志、state文件中意外留存临时凭证的内容，即使临时凭证有效期较短，仍存在泄露风险。

内容的提问来源于stack exchange，提问作者abergmeier