如何在Spring Boot Java应用中自动刷新临时AWS凭证？

问题背景 #

当前通过SQS队列收发消息时，从.aws/credentials文件加载包含access_key、secret_access_key、session_token的临时AWS凭证，数小时后凭证过期，需要实现无需人工干预的自动刷新。

解决方案 #

核心思路是替换原有的ProfileCredentialsProvider为支持自动刷新的凭证提供者，利用AWS SDK内置机制实现凭证自动更新，无需重启应用。

修改AWS SQS配置类 #

修改AwsSqsConfig中的凭证提供者Bean，使用RefreshingCredentialsProvider包装基础的ProfileCredentialsProvider，设置提前刷新的时间窗口，避免凭证过期导致服务中断：

@Configuration
public class AwsSqsConfig {

    @Value("${spring.cloud.aws.region.static}")
    private String region;

    @Value("${spring.cloud.aws.sqs.endpoint}")
    private String endpoint;

    @Value("${spring.cloud.aws.credentials.profile.name}")
    String profileName;

    @Bean
    public AwsCredentialsProvider awsCredentialsProvider() {
        // 基础提供者：负责读取.aws/credentials文件中的凭证
        ProfileCredentialsProvider baseProvider = ProfileCredentialsProvider
                .builder()
                .profileName(profileName)
                .build();

        // 包装为自动刷新提供者，设置在凭证过期前15分钟触发刷新
        return RefreshingCredentialsProvider.builder()
                .credentialsProvider(baseProvider)
                .refreshTrigger(RefreshTrigger.builder()
                        .refreshBeforeExpiration(Duration.ofMinutes(15))
                        .build())
                .build();
    }

    @Bean
    SqsAsyncClient sqsAsyncClient(AwsCredentialsProvider awsCredentialsProvider) throws URISyntaxException {
        return SqsAsyncClient.builder()
                .endpointOverride(new URI(endpoint))
                .region(Region.of(region))
                .credentialsProvider(awsCredentialsProvider)
                .build();
    }

    @Bean
    public SqsTemplate sqsTemplate(SqsAsyncClient sqsAsyncClient) {
        return SqsTemplate.builder().sqsAsyncClient(sqsAsyncClient).build();
    }

}

关键说明 #

1. 自动刷新逻辑：RefreshingCredentialsProvider会自动跟踪凭证的过期时间，在指定的提前刷新窗口内重新读取.aws/credentials文件的最新内容，实现凭证无缝切换。
2. 外部凭证更新：只需确保.aws/credentials文件中的临时凭证被定期更新（比如通过脚本自动执行aws sts assume-role生成新凭证并写入文件），应用会自动加载新凭证。
3. 其他代码无需改动：原有的SQSMessageListener和CreationTask组件依赖SqsTemplate，而SqsTemplate绑定的SqsAsyncClient会自动使用刷新后的凭证，因此这两部分代码保持原样即可。

可选优化：实时监听凭证文件变化 #

如果需要在凭证文件修改后立即触发刷新（而非等待定时窗口），可以自定义凭证提供者，结合文件监听实现实时更新：

@Bean
public AwsCredentialsProvider awsCredentialsProvider() {
    ProfileCredentialsProvider baseProvider = ProfileCredentialsProvider
            .builder()
            .profileName(profileName)
            .build();

    // 初始化可更新的凭证实例
    AwsCredentials initialCreds = baseProvider.resolveCredentials();
    MutableCredentials mutableCredentials = new MutableCredentials(
            initialCreds.accessKeyId(),
            initialCreds.secretAccessKey(),
            initialCreds.sessionToken()
    );

    // 监听.aws/credentials文件的修改事件，实时更新凭证
    Path credentialsPath = Paths.get(System.getProperty("user.home"), ".aws", "credentials");
    FileSystemWatcher watcher = FileSystemWatcher.builder()
            .paths(credentialsPath)
            .listener(event -> {
                if (StandardWatchEventKinds.ENTRY_MODIFY.equals(event.kind())) {
                    AwsCredentials newCreds = baseProvider.resolveCredentials();
                    mutableCredentials.update(newCreds.accessKeyId(), newCreds.secretAccessKey(), newCreds.sessionToken());
                }
            })
            .build();
    watcher.start();

    return () -> mutableCredentials;
}

这种方式适合需要实时响应凭证更新的场景，确保新凭证生效无延迟。

内容的提问来源于stack exchange，提问作者Tom Delebo