调用AdminGetUserCommand遇CredentialsProviderError，普通用户方法正常

这个错误的核心原因是：Cognito的Admin类API（比如AdminGetUser）需要使用AWS IAM身份凭证，而普通用户类API依赖的是用户自身的认证凭证（如ID Token），两者的凭证来源完全不同。你已经配置了IAM策略，但SDK还没加载到有效的IAM凭证。

以下是具体的解决步骤：

1. 本地开发环境处理 #

• 确保本地已配置AWS凭证：
  • 方式一：通过AWS CLI执行aws configure，按提示输入Access Key、Secret Key、区域和输出格式。
  • 方式二：手动在~/.aws/credentials（Linux/Mac）或C:\Users\你的用户名\.aws\credentials（Windows）文件中添加：

    [default]
    aws_access_key_id = 你的IAM用户Access Key
    aws_secret_access_key = 你的IAM用户Secret Key
    

• 确认该IAM用户已被授予目标用户池的cognito-idp:AdminGetUser权限，策略示例：

  {
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": "cognito-idp:AdminGetUser",
        "Resource": "arn:aws:cognito-idp:你的区域:你的AWS账号ID:userpool/你的用户池ID"
      }
    ]
  }
  

2. 服务器/部署环境处理 #

• Lambda环境：给Lambda的执行角色附加上述IAM策略，AWS SDK会自动从Lambda的元数据服务获取凭证，无需手动配置。
• EC2/ECS环境：给EC2实例或ECS任务配置具有对应权限的IAM角色，SDK同样会自动加载凭证。
• 其他服务器环境：设置环境变量AWS_ACCESS_KEY_ID和AWS_SECRET_ACCESS_KEY（若使用临时凭证，还需设置AWS_SESSION_TOKEN），确保这些变量能被应用程序读取到。

3. 代码层面显式配置凭证（可选） #

如果SDK无法自动加载凭证，可以在初始化Cognito客户端时显式指定凭证来源：

import { CognitoIdentityProviderClient } from "@aws-sdk/client-cognito-identity-provider";
import { fromEnv } from "@aws-sdk/credential-providers"; // 从环境变量加载
// 或 import { fromIni } from "@aws-sdk/credential-providers"; // 从本地配置文件加载

constructor() {
  this.cognitoIdentity = new CognitoIdentityProviderClient({
    region: this.config.region,
    credentials: fromEnv() // 或 fromIni({ profile: "你的AWS配置文件名称" })
  });
}

4. 排查验证要点 #

• 检查环境变量COGNITO_REGION是否和凭证的区域一致，区域不匹配也会导致凭证加载失败。
• 确认使用的IAM凭证没有过期（临时凭证需注意有效期）。
• 测试时可以打印凭证信息（仅开发环境），验证SDK是否成功加载到凭证：

  const creds = await fromEnv()();
  console.log("Loaded credentials:", creds.accessKeyId);
  

内容的提问来源于stack exchange，提问作者suhas khobragade