为何我的CodePipeline资产阶段出现“Missing credentials in config”错误？

可能的原因及修复步骤 #

• 检查凭证的权限范围
  之前的构建、自更新步骤可能仅需基础代码仓库或构建服务权限，但cdk-assets需要访问AWS资源（如S3、ECR）的权限。确认当前CI/CD使用的IAM角色/用户具备以下关键权限：

  • 针对CDK资产存储桶的s3:GetObject、s3:PutObject
  • 涉及容器镜像资产时的ecr:GetDownloadUrlForLayer、ecr:BatchGetImage、ecr:BatchCheckLayerAvailability
    测试阶段可临时关联AmazonS3FullAccess等托管策略，生产环境建议配置最小权限的自定义策略。

• 验证凭证在阶段间的传递
  CI/CD流水线不同阶段可能使用独立执行环境，导致凭证未正确传递到资产阶段：

  1. 确认构建阶段已将AWS_ACCESS_KEY_ID、AWS_SECRET_ACCESS_KEY、AWS_SESSION_TOKEN作为环境变量传递到资产阶段
  2. 若使用OIDC身份验证，检查资产阶段的任务角色是否正确配置信任关系，能从CI提供商（如GitHub Actions、GitLab CI）获取临时凭证

• 指定cdk-assets的执行上下文
  执行cdk-assets时可能未配置正确的AWS环境参数：

  • 显式指定区域和配置文件：cdk-assets publish -r us-east-1 --profile your-ci-profile
  • 在CI环境中设置AWS_REGION环境变量，避免因区域缺失引发凭证验证失败

• 统一CDK版本与依赖
  不同CDK版本的凭证处理逻辑存在差异：

  • 在package.json中锁定aws-cdk及相关依赖包的版本
  • 更新CDK到最新稳定版，修复已知的凭证传递类bug

错误日志分析 #

从你提供的错误截图来看：

核心问题是cdk-assets无法从当前环境加载AWS凭证，优先排查上述凭证传递和权限范围问题，这是CI/CD场景中最常见的诱因。

内容的提问来源于stack exchange，提问作者Kedhar