使用AWS SAM CLI部署时无法切换至正确AWS配置文件问题

问题描述 #

执行sam deploy --config-env prod --profile tale-garden-prod时，始终部署至错误的AWS账户；同时执行aws sts get-caller-identity --profile tale-garden-prod返回的账户ID也不正确。

已尝试的排查步骤 #

• 重新配置AWS CLI配置文件：通过aws configure --profile tale-garden-prod重新输入正确的IAM访问密钥和秘密访问密钥，手动检查~/.aws/credentials和~/.aws/config文件，确认凭证信息无误。
• 身份验证验证：执行aws sts get-caller-identity --profile tale-garden-prod验证指定配置文件对应的账户，但结果仍错误。
• 环境变量指定配置文件：执行export AWS_PROFILE=tale-garden-prod后再运行sam deploy --config-env prod，问题未解决。
• 排除MFA影响：确认目标账户未启用多因素认证，排除该因素干扰。
• 构建阶段指定配置文件：使用sam build --profile tale-garden-prod指定配置文件后再部署，依旧无法连接到正确账户。

可能的解决方案 #

1. 检查配置文件优先级冲突
   AWS CLI按「命令行参数 > 环境变量 > 配置文件」的优先级加载配置。执行以下命令检查是否存在全局环境变量覆盖了配置文件凭证：

   echo $AWS_ACCESS_KEY_ID
   echo $AWS_SECRET_ACCESS_KEY
   

   若输出非空，需清空这些环境变量后重试。

2. 清理旧会话缓存
   临时凭证（如角色切换）的缓存可能导致身份混乱，清理缓存后重新验证：

   rm -rf ~/.aws/cli/cache
   aws sts get-caller-identity --profile tale-garden-prod
   

3. 核对配置文件格式
   确保~/.aws/credentials和~/.aws/config格式正确，无语法错误：

   • credentials文件示例：

     [tale-garden-prod]
     aws_access_key_id = 你的访问密钥
     aws_secret_access_key = 你的秘密访问密钥
     

   • config文件示例（需以profile 开头）：

     [profile tale-garden-prod]
     region = 你的目标区域（如us-east-1）
     output = json
     

4. 检查SAM配置文件
   打开samconfig.toml（或samconfig.yaml），确认prod环境的配置未硬编码错误的profile或凭证：

   [prod.deploy.parameters]
   profile = "tale-garden-prod"
   region = "你的目标区域"
   

5. 强制指定配置文件路径
   通过--config-file参数强制SAM CLI使用目标配置文件：

   sam deploy --config-env prod --profile tale-garden-prod --config-file ~/.aws/config
   

6. 升级SAM CLI版本
   旧版本可能存在配置解析bug，执行升级命令：

   pip install --upgrade aws-sam-cli
   

内容的提问来源于stack exchange，提问作者Bertug