AWS SDK STS: Assume Role, Cross-Account Access आणि Temporary Credentials (Python, PHP, Node.js)

By Ravindra Bagale, trainer · LinkedIn · Last updated: 24 October 2026

1. मोठं चित्र: visitor badge

हे का लागतं?

Client office मध्ये reception ला ID दाखवून visitor badge मिळतो जो फक्त काही floors उघडतो आणि संध्याकाळी 6 ला expire होतो. AssumeRole = reception; temporary credentials = badge.

हे काय आहे?

AssumeRole AccessKeyId, SecretAccessKey, SessionToken आणि Expiration (15 min ते 12 h) देतो. Role ची trust policy कोण assume करू शकतो ते सांगते; permissions badge काय करू शकतो ते.

कसं करायचं (step by step)

2. मी कोण?

हे का लागतं?

Auckland च्या client वर काही चालवण्याआधी Noah script कोणतं account व role वापरतो ते तपासतो.

हे काय आहे?

GetCallerIdentity ला permission लागत नाही आणि Account, UserId, Arn देतो.

कसं करायचं (step by step)

1. Python.

import boto3
sts = boto3.client("sts")
me = sts.get_caller_identity()
print(me["Account"], me["Arn"])

अपेक्षित output:

111111111111 arn:aws:iam::111111111111:user/noah

2. Node.js.

import { STSClient, GetCallerIdentityCommand } from "@aws-sdk/client-sts";
const sts = new STSClient({ region: "ap-southeast-2" });
const me = await sts.send(new GetCallerIdentityCommand({}));
console.log(me.Account, me.Arn);

अपेक्षित output:

111111111111 arn:aws:iam::111111111111:user/noah

3. PHP.

<?php
require "vendor/autoload.php";
$sts = new Aws\Sts\StsClient(["region" => "ap-southeast-2"]);
$me = $sts->getCallerIdentity();
echo $me["Account"], " ", $me["Arn"], PHP_EOL;

अपेक्षित output:

111111111111 arn:aws:iam::111111111111:user/noah

4. CLI ने verify.

aws sts get-caller-identity --query Arn --output text

अपेक्षित output:

arn:aws:iam::111111111111:user/noah

3. दुसऱ्या account मध्ये role assume

हे का लागतं?

Auckland client (account 222222222222) ने agency ला S3 व EC2 read access असलेला AgencyOps role दिला.

हे काय आहे?

RoleArn आणि RoleSessionName (CloudTrail मध्ये दिसतं) सह AssumeRole. मग तिन्ही keys नवीन client ला द्या.

कसं करायचं (step by step)

1. Python: assume करून S3 client.

c = sts.assume_role(RoleArn="arn:aws:iam::222222222222:role/AgencyOps",
    RoleSessionName="noah-audit", DurationSeconds=3600)["Credentials"]
s3 = boto3.client("s3", aws_access_key_id=c["AccessKeyId"],
    aws_secret_access_key=c["SecretAccessKey"], aws_session_token=c["SessionToken"])
print(c["Expiration"], [b["Name"] for b in s3.list_buckets()["Buckets"]][:2])

अपेक्षित output:

2026-10-24 08:40:00+00:00 ['kiwi-shop-assets', 'kiwi-shop-logs']

2. Node.js: assume करून EC2 client.

import { AssumeRoleCommand } from "@aws-sdk/client-sts";
import { EC2Client, DescribeInstancesCommand } from "@aws-sdk/client-ec2";
const { Credentials: c } = await sts.send(new AssumeRoleCommand({
  RoleArn: "arn:aws:iam::222222222222:role/AgencyOps", RoleSessionName: "noah-ec2" }));
const ec2 = new EC2Client({ region: "ap-southeast-2", credentials: {
  accessKeyId: c.AccessKeyId, secretAccessKey: c.SecretAccessKey, sessionToken: c.SessionToken } });
const r = await ec2.send(new DescribeInstancesCommand({}));
console.log(r.Reservations.length, "reservations");

अपेक्षित output:

3 reservations

3. PHP: assume करून credentials द्या.

<?php
$c = $sts->assumeRole(["RoleArn" => "arn:aws:iam::222222222222:role/AgencyOps",
    "RoleSessionName" => "noah-php"])["Credentials"];
$s3 = new Aws\S3\S3Client(["region" => "ap-southeast-2", "credentials" => [
    "key" => $c["AccessKeyId"], "secret" => $c["SecretAccessKey"], "token" => $c["SessionToken"]]]);
echo count($s3->listBuckets()["Buckets"]), " buckets", PHP_EOL;

अपेक्षित output:

2 buckets

4. Verify: role keys ने आता मी कोण.

AWS_ACCESS_KEY_ID=... AWS_SECRET_ACCESS_KEY=... AWS_SESSION_TOKEN=... aws sts get-caller-identity --query Arn --output text

अपेक्षित output:

arn:aws:sts::222222222222:assumed-role/AgencyOps/noah-audit

4. External ID आणि MFA

हे का लागतं?

दिल्लीतलं Aditi चं audit tool 40 companies ना सेवा देतं; external ID एक customer ला दुसऱ्याच्या account मध्ये tool वापरू देत नाही. Admin roles ला MFA पण लागतं.

हे काय आहे?

Trust policy sts:ExternalId तपासते; AssumeRole मध्ये ExternalId द्या. MFA साठी SerialNumber आणि TokenCode.

कसं करायचं (step by step)

1. Client च्या role ची trust policy (JSON).

{"Version": "2012-10-17", "Statement": [{
  "Effect": "Allow",
  "Principal": {"AWS": "arn:aws:iam::333333333333:role/AuditTool"},
  "Action": "sts:AssumeRole",
  "Condition": {"StringEquals": {"sts:ExternalId": "acme-7f3a91"}}}]}

अपेक्षित output:

(saved in role AuditReadOnly)

2. Python: ExternalId सह assume.

c = sts.assume_role(RoleArn="arn:aws:iam::444444444444:role/AuditReadOnly",
    RoleSessionName="aditi-audit", ExternalId="acme-7f3a91")["Credentials"]
print("ok until", c["Expiration"])

अपेक्षित output:

ok until 2026-10-24 07:55:00+00:00

3. Node.js: MFA सह assume.

const r = await sts.send(new AssumeRoleCommand({
  RoleArn: "arn:aws:iam::222222222222:role/AgencyAdmin", RoleSessionName: "noah-admin",
  SerialNumber: "arn:aws:iam::111111111111:mfa/noah", TokenCode: "492817" }));
console.log("admin until", r.Credentials.Expiration.toISOString());

अपेक्षित output:

admin until 2026-10-24T07:55:00.000Z

4. PHP: चुकीचा external ID fail.

<?php
try { $sts->assumeRole(["RoleArn" => "arn:aws:iam::444444444444:role/AuditReadOnly",
    "RoleSessionName" => "x", "ExternalId" => "wrong"]); }
catch (Aws\Exception\AwsException $e) { echo $e->getAwsErrorCode(), PHP_EOL; }

अपेक्षित output:

AccessDenied

5. SDK ला refresh करू द्या

हे का लागतं?

Frankfurt मधला nightly job 3 तास चालतो; एक तासाच्या keys मध्येच expire होतील.

हे काय आहे?

Role profiles (role_arn + source_profile) किंवा SDK चा assume-role provider वापरा. Expiration आधी keys आपोआप renew होतात.

कसं करायचं (step by step)

1. तिन्ही SDKs साठी ~/.aws/config profile.

[profile kiwi]
role_arn = arn:aws:iam::222222222222:role/AgencyOps
source_profile = default
role_session_name = nightly
region = ap-southeast-2

अपेक्षित output:

(saved)

2. Python: profile वापरा; boto3 refresh करतं.

s = boto3.Session(profile_name="kiwi")
print(s.client("sts").get_caller_identity()["Arn"])

अपेक्षित output:

arn:aws:sts::222222222222:assumed-role/AgencyOps/nightly

3. Node.js: fromTemporaryCredentials provider.

import { fromTemporaryCredentials } from "@aws-sdk/credential-providers";
import { S3Client, ListBucketsCommand } from "@aws-sdk/client-s3";
const s3 = new S3Client({ region: "ap-southeast-2", credentials: fromTemporaryCredentials({
  params: { RoleArn: "arn:aws:iam::222222222222:role/AgencyOps", RoleSessionName: "nightly" } }) });
console.log((await s3.send(new ListBucketsCommand({}))).Buckets.length);

अपेक्षित output:

2

4. PHP: memoize सह AssumeRoleCredentialProvider.

<?php
use Aws\Credentials\{AssumeRoleCredentialProvider, CredentialProvider};
$p = new AssumeRoleCredentialProvider(["client" => $sts, "assume_role_params" => [
    "RoleArn" => "arn:aws:iam::222222222222:role/AgencyOps", "RoleSessionName" => "nightly"]]);
$s3 = new Aws\S3\S3Client(["region" => "ap-southeast-2", "credentials" => CredentialProvider::memoize($p)]);
echo count($s3->listBuckets()["Buckets"]), PHP_EOL;

अपेक्षित output:

2

6. हाच call Java, Go, .NET आणि CLI मध्ये

हे का लागतं?

Teams अनेकदा भाषा मिसळतात. Python, PHP आणि Node.js मध्ये call समजला की बाकीचे SDKs म्हणजे तोच API, फक्त syntax वेगळा.

हे काय आहे?

सगळे AssumeRole API call करतात. Terminal मधून पटकन test करायला CLI ओळ वापरा.

कसं करायचं (step by step)

7. काहीही खर्च चालू राहू नये म्हणून cleanup

हे का लागतं?

चालू ठेवलेले lab resources पैसे खातात आणि security risk बनतात.

हे काय आहे?

उलट्या क्रमाने delete करा: आधी children, मग parents.

कसं करायचं (step by step)

1. Delete करायला काही नाही: temporary credentials स्वतः expire होतात. Test roles बनवले असतील तर काढा.

aws iam delete-role --role-name AuditReadOnly

अपेक्षित output:

(no output means success)

8. मुलाखत प्रश्न आणि उत्तरं

उजळणी, तुलना आणि मुलाखत cards

हा lesson काही मिनिटांत revise करा. Cards phone वर save करा किंवा PNG download करा. प्रत्येक card वरचा QR हा lesson उघडतो.

अजून cards: Ravi Sir's Cards.