Python3.11 Lambda跨账号角色切换时安全令牌无效问题求助

问题分析 #

核心原因是Lambda执行环境复用导致boto3会话/客户端残留了之前调用的凭证，尤其是同一账号不同区域调用时，旧区域的凭证被复用在新区域请求中，引发令牌无效错误。即使限制并发为1，Lambda仍可能复用同一个执行环境，因此无法彻底解决问题。

解决方案 #

1. 禁止使用全局boto3对象 #

Lambda冷启动后，执行环境会被复用，不要在handler函数外定义boto3.client或session，所有的STS客户端、目标服务客户端都要在handler内部创建：

def lambda_handler(event, context):
    # 每次调用都在handler内创建STS客户端
    sts_client = boto3.client("sts")
    r = sts_client.assume_role(
        RoleArn=f"arn:aws:iam::{account_id}:role/{role}",
        RoleSessionName=role_session_name,
    )
    # 基于当前凭证创建专属服务客户端
    config_client = boto3.client(
        "config",
        aws_access_key_id=r["Credentials"]["AccessKeyId"],
        aws_secret_access_key=r["Credentials"]["SecretAccessKey"],
        aws_session_token=r["Credentials"]["SessionToken"],
        region_name=region
    )
    # 执行后续业务操作

2. 显式重置默认会话（如果必须用全局对象） #

如果业务逻辑依赖全局boto3对象，每次调用handler时强制重置默认会话，清除旧凭证：

def lambda_handler(event, context):
    # 重置默认会话，避免复用旧凭证
    boto3.DEFAULT_SESSION = None
    
    # 后续正常执行STS assume_role和客户端创建逻辑

3. 禁用Lambda预预热环境 #

通过设置环境变量彻底避免执行环境复用：

• 进入Lambda函数配置页面，添加环境变量AWS_LAMBDA_DISABLE_PREWARMING，值设为true
• 该配置会让Lambda为每个调用创建全新的执行环境，彻底解决凭证复用问题，但会增加冷启动时间，适合对启动延迟不敏感的场景

4. 日志验证凭证唯一性 #

在代码中添加日志，确认每次调用的凭证都是全新且在有效期内：

import logging
logger = logging.getLogger()
logger.setLevel(logging.INFO)

# 拿到STS响应r后添加日志
logger.info(f"当前使用的AccessKey后缀: {r['Credentials']['AccessKeyId'][-4:]}")
logger.info(f"凭证过期时间: {r['Credentials']['Expiration']}")

通过CloudWatch日志可以直接确认是否存在旧凭证被复用的情况。

关键注意点 #

• 所有跨账号操作必须显式传入STS返回的凭证，不要依赖boto3的默认会话
• 限制并发为1无法阻止Lambda复用执行环境，因此不是有效解决方案

内容的提问来源于stack exchange，提问作者StorageMatt