【小ネタ】AWS CLIでAWS Account IDが取れるようになりました！

西澤です。みんな大好きAWS CLIで地味に嬉しいアップデートがあったのでご紹介します。

• Release: AWS Command Line Interface 1.10.18 : Release Notes : Amazon Web Services

意外に取りづらかった自分のAWS Account ID

これまでAWS Account IDを取得する方法って確立された方法がありませんでした。下記記事のように皆さん工夫していたのが実情かと思います。

• 【Tips】AWS CLIでAWSアカウントIDを取得する方法 ｜ Developers.IO

意外にわかりづらかった今使用しているプロファイル

特に複数アカウントを切り替えて利用する環境では、今AWS CLIで使っているprofile情報が何なのか非常にわかりづらかったと思います。aws configure listで切り分けをして確認する方法を以前にご紹介しました。

• AWS CLIで使える認証情報とオプションの設定方法まとめ ｜ Developers.IO

GetCallerIdentityって何だ？

GetCallerIdentityって何だかわからなかったのですが、公式ドキュメントを見てもオプションもほとんど無いようなので、早速バージョンを1.10.18に上げて、コマンドを叩いてみました。

$ aws --version
aws-cli/1.10.18 Python/2.7.10 Darwin/14.5.0 botocore/1.4.9

$ aws sts get-caller-identity
{
    "Account": "123456789012", 
    "UserId": "AIDAXXXXXXXXXXXXXXXXX", 
    "Arn": "arn:aws:iam::123456789012:user/cm-nishizawa.tetsunori"
}

おお！AWS Account IDも利用しているユーザもばっちりわかりますね！

AssumeRoleしている環境ではどうなるでしょうか？

$ aws sts get-caller-identity --profile assumed
{
    "Account": "123456789012", 
    "UserId": "AROAXXXXXXXXXXXXXXXXX:AWS-CLI-session-1459933035", 
    "Arn": "arn:aws:sts::123456789012:assumed-role/cm-nishizawa.tetsunori/AWS-CLI-session-1459933035"
}

こちらも一目了然ですね！これで今作業中のプロファイルが何なのか迷うことも無くなりそうです！

• GetCallerIdentity - AWS Security Token Service

GetCallerIdentityするのに権限は要らないのか？

IAM権限を何も付与していない新規のIAMユーザでも試してみました。

$ export AWS_ACCESS_KEY_ID=AKIAXXXXXXXXXXXXXXXX
$ export AWS_SECRET_ACCESS_KEY=jE3Yxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
$ aws configure list
      Name                    Value             Type    Location
      ----                    -----             ----    --------
   profile                <not set>             None    None
access_key     ****************XXEQ              env    
secret_key     ****************xpsL              env    
    region                <not set>             None    None
$ ls -ld ~/.aws
ls: /home/ec2-user/.aws にアクセスできません: そのようなファイルやディレクトリはありません

$ aws sts get-caller-identity
{
    "Account": "123456789012",
    "UserId": "AIDAXXXXXXXXXXXXXXXXX",
    "Arn": "arn:aws:iam::123456789012:user/newuser"
}

Region指定すら不要でした。STSはグローバルエンドポイントがあるのでそこを見に行ってくれるみたいです。

AWS Security Token Service のデフォルトエンドポイントは https://sts.amazonaws.com であり、世界中のすべてのリクエストに対応します。 AWS のリージョンとエンドポイント - アマゾン ウェブ サービス

とにかくGetCallerIdentityは追加でIAM権限を付与することなく利用することができました。

まとめ

地味に嬉しいアップデートだと思いましたのでご紹介しました。どこかの誰かのお役に立てば嬉しいです。