boto3と1Passwordを使って、AWSのMFA認証とスイッチロールを自動化してみた！

import os
import boto3
from boto3.session import Session
from botocore.config import Config
from onepassword import OnePassword

# IAMユーザー名を指定（このユーザーのMFAデバイスを使用する）
IAM_USER_NAME = os.getenv("IAM_USER_NAME")

# AssumeRoleする際に使用するターゲットのAWS IAMロールARN
TARGET_ROLE_ARN = os.getenv("TARGET_ROLE_ARN")

# 1Passwordで保管されているAWSのアクセスキーに関連するタイトル
TITLE = '<AWS Access Key>'

# AWSのリージョン（ここでは東京リージョンを使用）
TARGET_REGION = 'ap-northeast-1'

def get_one_time_password() -> int:
    """
    1Passwordからワンタイムパスワード（OTP）を取得する関数。
    このOTPはMFA認証時に使用される。

    Returns:
        int: ワンタイムパスワード
    """
    # 1Passwordのインスタンスを作成
    op = OnePassword()

    # 1Password内のアイテムリストから、指定したタイトル（TITLE）に一致するアイテムを取得し、そのUUIDを取得
    uuid = [item['id'] for item in op.list_items() if item['title'] == TITLE][0]

    # 取得したUUIDを使って、OTP（ワンタイムパスワード）を取得
    one_time_password = op.get_item_otp(uuid=uuid)

    return one_time_password

def get_mfa_device() -> str:
    """
    IAMユーザーに紐づけられたMFAデバイスのシリアル番号を取得する関数。
    このシリアル番号はMFA認証時に使用される。

    Returns:
        str: MFAデバイスのシリアル番号
    """
    # IAMクライアントを作成
    client = boto3.client("iam")

    # 指定したIAMユーザーに紐づけられたMFAデバイスのリストを取得し、最初のデバイスのシリアル番号を取得
    mfa_device = client.list_mfa_devices(UserName=IAM_USER_NAME)['MFADevices'][0]['SerialNumber']

    return mfa_device

def assume_role(one_time_password: int, mfa_device: str, TARGET_ROLE_ARN: str) -> Session:
    """
    指定したロールにスイッチロール（Assume Role）する関数。
    MFA認証を行い、一時的なセッションを取得する。

    Args:
        one_time_password (int): ワンタイムパスワード（OTP）
        mfa_device (str): MFAデバイスのシリアル番号
        TARGET_ROLE_ARN (str): スイッチロールするターゲットロールのARN

    Returns:
        Session: 一時的なセッション情報を持つboto3のSessionオブジェクト
    """
    # STSクライアントを作成
    client = boto3.client("sts")

    # AssumeRole APIを呼び出して、一時的な認証情報を取得
    temp_credentials = client.assume_role(
        RoleArn=TARGET_ROLE_ARN,  # スイッチするロールのARN
        RoleSessionName='assume_role_sample',  # セッションに付ける名前
        SerialNumber=mfa_device,  # MFAデバイスのシリアル番号
        TokenCode=one_time_password  # ワンタイムパスワード（OTP）
    )

    # 一時的な認証情報を使用して新しいセッションを作成
    assume_role_session = Session(
        aws_access_key_id=temp_credentials['Credentials']['AccessKeyId'],
        aws_secret_access_key=temp_credentials['Credentials']['SecretAccessKey'],
        aws_session_token=temp_credentials['Credentials']['SessionToken'],
        region_name=TARGET_REGION,  # 使用するリージョン
    )

    return assume_role_session

def main():
    """
    メイン処理を行う関数。
    MFA認証を行い、指定のロールにスイッチロールした後、S3のバケットリストを表示する。
    """
    # MFAデバイスのシリアル番号を取得
    mfa_device = get_mfa_device()

    # 1Passwordからワンタイムパスワードを取得
    one_time_password = get_one_time_password()

    # スイッチロールを行い、一時的なセッションを取得
    assume_role_session = assume_role(one_time_password, mfa_device, TARGET_ROLE_ARN)

    # スイッチロールしたセッションを使ってS3クライアントを作成
    s3 = assume_role_session.client('s3')

    # S3バケットのリストを取得して表示
    print(s3.list_buckets())

# メイン処理を実行
if __name__ == "__main__":
    main()

def get_one_time_password() -> int:
    """
    1Passwordからワンタイムパスワード（OTP）を取得する関数。
    このOTPはMFA認証時に使用される。

    Returns:
        int: ワンタイムパスワード
    """
    # 1Passwordのインスタンスを作成
    op = OnePassword()

    # 1Password内のアイテムリストから、指定したタイトル（TITLE）に一致するアイテムを取得し、そのUUIDを取得
    uuid = [item['id'] for item in op.list_items() if item['title'] == TITLE][0]

    # 取得したUUIDを使って、OTP（ワンタイムパスワード）を取得
    one_time_password = op.get_item_otp(uuid=uuid)

    return one_time_password

def get_mfa_device() -> str:
    """
    IAMユーザーに紐づけられたMFAデバイスのシリアル番号を取得する関数。
    このシリアル番号はMFA認証時に使用される。

    Returns:
        str: MFAデバイスのシリアル番号
    """
    # IAMクライアントを作成
    client = boto3.client("iam")

    # 指定したIAMユーザーに紐づけられたMFAデバイスのリストを取得し、最初のデバイスのシリアル番号を取得
    mfa_device = client.list_mfa_devices(UserName=IAM_USER_NAME)['MFADevices'][0]['SerialNumber']

    return mfa_device

def assume_role(one_time_password: int, mfa_device: str, TARGET_ROLE_ARN: str) -> Session:
    """
    指定したロールにスイッチロール（Assume Role）する関数。
    MFA認証を行い、一時的なセッションを取得する。

    Args:
        one_time_password (int): ワンタイムパスワード（OTP）
        mfa_device (str): MFAデバイスのシリアル番号
        TARGET_ROLE_ARN (str): スイッチロールするターゲットロールのARN

    Returns:
        Session: 一時的なセッション情報を持つboto3のSessionオブジェクト
    """
    # STSクライアントを作成
    client = boto3.client("sts")

    # AssumeRole APIを呼び出して、一時的な認証情報を取得
    temp_credentials = client.assume_role(
        RoleArn=TARGET_ROLE_ARN,  # スイッチするロールのARN
        RoleSessionName='assume_role_sample',  # セッションに付ける名前
        SerialNumber=mfa_device,  # MFAデバイスのシリアル番号
        TokenCode=one_time_password  # ワンタイムパスワード（OTP）
    )

    # 一時的な認証情報を使用して新しいセッションを作成
    assume_role_session = Session(
        aws_access_key_id=temp_credentials['Credentials']['AccessKeyId'],
        aws_secret_access_key=temp_credentials['Credentials']['SecretAccessKey'],
        aws_session_token=temp_credentials['Credentials']['SessionToken'],
        region_name=TARGET_REGION,  # 使用するリージョン
    )

    return assume_role_session

def main():
    """
    メイン処理を行う関数。
    MFA認証を行い、指定のロールにスイッチロールした後、S3のバケットリストを表示する。
    """
    # MFAデバイスのシリアル番号を取得
    mfa_device = get_mfa_device()

    # 1Passwordからワンタイムパスワードを取得
    one_time_password = get_one_time_password()

    # スイッチロールを行い、一時的なセッションを取得
    assume_role_session = assume_role(one_time_password, mfa_device, TARGET_ROLE_ARN)

    # スイッチロールしたセッションを使ってS3クライアントを作成
    s3 = assume_role_session.client('s3')

    # S3バケットのリストを取得して表示
    print(s3.list_buckets())