如何使用IAM Identity部署应用并处理AWS SDK会话定期过期问题

推荐方案：使用AWS托管服务的IAM角色 #

如果你的容器部署在ECS、EKS这类AWS托管服务上，直接给任务/Pod绑定IAM角色是最优解：

• 容器启动时会自动从AWS元数据服务获取临时凭证，AWS会自动处理凭证轮换（无需手动干预，默认轮换周期符合安全要求）。
• 容器内的AWS SDK会自动识别并使用这些临时凭证，完全不用处理12小时刷新的问题，同时严格遵循AWS安全最佳实践。
• 具体配置：ECS在任务定义中指定「任务角色」；EKS使用IAM Roles for Service Accounts（IRSA）给Pod关联角色。

非AWS托管环境的解决方案 #

如果必须在外部环境运行容器，可以通过以下方式实现凭证自动刷新：

1. 容器内运行凭证刷新脚本

• 初始阶段：通过MFA获取有效期最长12小时的临时会话凭证，将其作为环境变量传入容器。
• 编写脚本（bash/Python均可）：在凭证过期前30分钟左右，调用aws sts get-session-token --serial-number <你的MFA设备ARN> --token-code <实时MFA码>获取新的临时凭证，然后更新容器内的AWS_ACCESS_KEY_ID、AWS_SECRET_ACCESS_KEY、AWS_SESSION_TOKEN环境变量，或者更新~/.aws/credentials文件。
• 注意：主应用需要支持热加载凭证，或者在凭证更新后重启应用；同时要确保脚本的安全性，避免MFA码泄露。

2. 借助AWS Secrets Manager实现自动轮换

• 将临时凭证存储在Secrets Manager中，配置自定义轮换规则（比如每11小时轮换一次）。
• 创建Lambda轮换函数：负责调用STS接口获取带MFA的新临时凭证，更新Secrets Manager中的凭证内容。
• 容器内的应用定期（比如每1小时）调用Secrets Manager API拉取最新凭证，更新自身的AWS客户端配置。

关键提醒 #

严格遵循AWS安全建议，绝对不要使用长期IAM用户凭证，所有方案都要基于临时凭证的自动轮换机制。

内容的提问来源于stack exchange，提问作者korpe