AWS Serverless .NET6应用调用Secrets Manager时出现区域配置异常

环境与配置 #

• Windows 11 + Visual Studio 2022
• .NET 6 Serverless（SAM/Lambda）解决方案，使用AWS Power Tools
• %userprofile%.aws目录下的config和credentials文件配置如下：

config文件内容 #

[profile xxx-xxx-xxx]
sso_start_url = https://xxxx.awsapps.com/start
sso_region = us-east-1
sso_account_id = xxxxx
sso_role_name = xxxxx
region = us-east-1
[sso-session xxxxxx]
sso_region=us-east-1
sso_start_url=https://xxxx.awsapps.com/start

credentials文件内容 #

[xxx-xxx-xxx]
sso_start_url = https://xxxx.awsapps.com/start
sso_region = us-east-1
sso_account_id = xxxxx
sso_role_name = xxxxx
region = us-east-1
ignore_configured_endpoint_urls=false
toolkit_artifact_guid=2936bdec-6065-40b8-a2ab-d5020673f3ac

异常情况 #

AWS Explorer可正常认证并显示所有资源，通过AWS门户也能访问Secrets Manager，但应用调用Lambda访问Secrets Manager时，实例化AmazonSecretsManagerClient()抛出以下异常：

Amazon.Runtime.AmazonClientException
  HResult=0x80131500
  Message=No RegionEndpoint or ServiceURL configured
  Source=AWSSDK.Core
  StackTrace:
   at Amazon.Runtime.ClientConfig.Validate()
   at Amazon.Runtime.AmazonServiceClient..ctor(AWSCredentials credentials, ClientConfig config)
   at Amazon.SecretsManager.AmazonSecretsManagerClient..ctor()
   at Integrations.Documentation.Auth.POC.Lib.Secrets.SecretsHelper.<GetSecret>d__0.MoveNext() in C:\Users\xxx\xxx\xxx\xxx\xxxx\Secrets\SecretsHelper.cs:line 22

  This exception was originally thrown at this call stack:
    [External Code]
    xxx.xxx.xxx.xxx.xxx.Secrets.SecretsHelper.GetSecret(string) in SecretsHelper.cs

已排查同类问题，多数因config/credentials缺少region或URL配置，但当前配置无误，求问题原因与解决建议。

可能原因与解决建议 #

1. 默认未加载指定AWS Profile #

AmazonSecretsManagerClient()无参构造函数会尝试加载默认Profile，但你的配置是自定义Profile（xxx-xxx-xxx），系统未自动识别。解决方法：

• 显式指定Profile实例化客户端：

  var profile = new Amazon.Runtime.CredentialManagement.NetSDKCredentialsFile().GetProfile("xxx-xxx-xxx");
  var credentials = profile.GetAWSCredentials();
  var client = new AmazonSecretsManagerClient(credentials, new AmazonSecretsManagerConfig { RegionEndpoint = RegionEndpoint.USEast1 });
  

• 或设置环境变量AWS_PROFILE=xxx-xxx-xxx，让SDK自动加载该Profile。

2. Lambda本地运行时环境变量缺失 #

使用SAM本地调试Lambda时，需确保本地环境注入正确的Region配置：

• 在template.yaml的Lambda函数配置中添加环境变量：

  Environment:
    Variables:
      AWS_REGION: us-east-1
  

• 或运行SAM本地命令时指定Region：

  sam local invoke --region us-east-1
  

3. AWS SDK版本兼容性问题 #

部分旧版AWS SDK对SSO Profile的自动加载支持不完善，检查并升级AWSSDK.SecretsManager和AWSSDK.Core到最新稳定版，确保与AWS Power Tools版本兼容。

4. 未完成SSO登录刷新 #

虽然AWS Explorer正常，但本地SDK可能未获取到有效临时凭证。执行以下命令刷新SSO会话：

aws sso login --profile xxx-xxx-xxx

5. 配置文件读取优先级问题 #

系统可能优先读取了其他位置的AWS配置，检查以下情况：

• 环境变量AWS_REGION未设置或设置错误
• 存在系统级C:\ProgramData\AWS\config文件，覆盖了用户级配置
• Visual Studio的AWS工具中是否指定了其他Profile，而非xxx-xxx-xxx

内容的提问来源于stack exchange，提问作者CB_at_Sw