IAM Role

Role adalah identitas tanpa kredensial permanen yang bisa diambil sementara oleh siapa pun yang diizinkan. Hampir semua hal di AWS berjalan di atas mekanisme ini.

Role itu apa

Kalau IAM user adalah "siapa kamu", role adalah "peran yang sedang kamu pegang". Role tidak punya password dan tidak punya access key. Ia cuma seperangkat izin yang bisa dipinjam — dan saat dipinjam, AWS STS menerbitkan kredensial sementara yang mati sendiri setelah beberapa jam.

Setiap role selalu punya dua dokumen, dan membedakannya adalah kunci semua debugging IAM:

Contoh: role untuk fungsi Lambda

Trust policy — hanya layanan Lambda yang boleh memakai role ini:

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Principal": { "Service": "lambda.amazonaws.com" },
    "Action": "sts:AssumeRole"
  }]
}

Permissions policy — apa yang boleh dilakukan fungsi itu:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "bedrock:InvokeModelWithResponseStream",
      "Resource": "arn:aws:bedrock:us-east-1::foundation-model/anthropic.claude-*"
    },
    {
      "Effect": "Allow",
      "Action": ["logs:CreateLogStream", "logs:PutLogEvents"],
      "Resource": "arn:aws:logs:us-east-1:123456789012:log-group:/aws/lambda/*"
    }
  ]
}

Hasilnya: kode Lambda-mu memanggil Bedrock tanpa satu baris pun kredensial. boto3 mengambil kredensial sementara dari environment yang disiapkan runtime Lambda. Ini yang membuat "tidak ada secret di kode" bukan sekadar slogan.

Siapa saja yang bisa jadi Principal

Mengambil role dari kode

import boto3

sts = boto3.client("sts")
resp = sts.assume_role(
    RoleArn="arn:aws:iam::123456789012:role/BacaKnowledgeBase",
    RoleSessionName="ingest-harian",   # muncul di CloudTrail — beri nama yang berarti
)

kredensial = resp["Credentials"]
bedrock = boto3.client(
    "bedrock-runtime",
    aws_access_key_id=kredensial["AccessKeyId"],
    aws_secret_access_key=kredensial["SecretAccessKey"],
    aws_session_token=kredensial["SessionToken"],   # wajib — ini penanda kredensial sementara
)

Kenapa AssumeRole gagal