执行cdktf deploy及boto3创建S3桶均遇AWS凭证错误求助

一、先确认AWS凭证本身有效性 #

不管是cdktf还是boto3，核心都依赖AWS凭证的正确性，先做基础验证：

• 执行aws sts get-caller-identity，如果返回用户ARN、账号ID等信息，说明凭证有效；如果报错，直接确认Access Key/Secret Key是否和AWS控制台生成的一致，注意不要有多余空格或换行。
• 检查本地凭证文件：Linux/macOS路径是~/.aws/credentials，Windows是C:\Users\<你的用户名>\.aws\credentials，确认[default]段的密钥对正确。

二、cdktf的STS 403错误处理 #

1. 检查cdk.tf.json的provider配置
   • 如果配置里硬编码了access_key和secret_key，会覆盖aws configure的设置，直接删掉这两个字段，让cdktf自动读取本地凭证链。
   • 确认provider的region字段和你要操作的AWS区域一致，区域不匹配也可能触发STS权限错误。
2. 验证凭证上下文
   • 先执行cdktf get重新拉取provider依赖，避免版本不兼容问题。
   • 临时用环境变量指定凭证测试：

     export AWS_ACCESS_KEY_ID="你的有效Access Key"
     export AWS_SECRET_ACCESS_KEY="你的有效Secret Key"
     cdktf deploy
     

     如果这样能成功，说明本地可能存在多个AWS配置文件（比如AWS_PROFILE环境变量指向了无效的profile），检查环境变量是否有冲突。

三、boto3的Access Key不存在问题 #

1. 检查代码中的硬编码凭证
   • 查看boto3初始化代码，如果有硬编码的密钥对，比如：

     s3 = boto3.client('s3',
                       aws_access_key_id='错误的Key',
                       aws_secret_access_key='错误的Secret')
     

     直接删掉这些硬编码，让boto3自动读取本地凭证。
2. 确认使用的profile
   • 如果用了非default的profile，代码里要明确指定：

     session = boto3.Session(profile_name='你的profile名')
     s3 = session.client('s3')
     

     或者运行代码前设置环境变量AWS_PROFILE=你的profile名。

四、其他潜在问题 #

• IAM权限不足：即使凭证有效，IAM用户如果没有sts:GetCallerIdentity、s3:CreateBucket、cloudformation:*等必要权限，也会触发403或操作失败，去AWS控制台检查该用户的权限策略。
• 临时凭证过期：如果用的是IAM角色生成的临时凭证，可能已过期，重新生成即可。

内容的提问来源于stack exchange，提问作者Thibault Négrier