开发本地AWS资源管理工具：如何通过浏览器登录获取AWS访问凭证？

一、可行的无CLI凭证获取流程 #

完全可以通过浏览器引导用户获取自己AWS账号的凭证，核心是利用AWS STS临时凭证机制，步骤可简化到极致：

• 步骤1：引导用户登录自己的AWS控制台
  工具直接提示用户打开浏览器访问AWS登录页，登录自己的账号。
• 步骤2：一键生成并复制临时凭证
  引导用户进入「IAM > 我的安全凭证 > 会话令牌」页面，点击「创建会话令牌」，设置过期时间（比如12小时），生成后直接复制访问密钥ID、私有访问密钥和会话令牌这三组值。
• 步骤3：粘贴到工具完成配置
  用户将复制的凭证粘贴到工具的输入框中，工具验证后即可用于管理其AWS资源。

如果想实现更自动化的流程（不用手动复制），可以参考Serverless Framework的做法，在本地启动临时HTTP服务器，通过OIDC授权码流完成凭证自动获取。

二、Serverless Framework的凭证实现逻辑 #

Serverless Framework的浏览器登录流程基于AWS OIDC授权码流，全程无需CLI：

1. 执行凭证相关命令时，工具自动启动本地临时HTTP服务器（默认端口4500）。
2. 打开浏览器指向AWS授权页面，附带工具的客户端ID、所需权限范围、本地回调地址（如http://localhost:4500/callback）。
3. 用户登录自己的AWS账号，确认授权工具访问指定资源。
4. AWS将授权码发送到本地服务器的回调地址，工具自动捕获。
5. 工具用授权码向AWS STS请求临时凭证，获取AccessKeyId、SecretAccessKey和SessionToken，并存储到本地配置文件中。

这种流程全程在用户本地设备进行，用户始终登录自己的AWS账号，不会涉及第三方账号，也无需安装CLI。

关于AssumeRole的误解 #

你之前认为AssumeRole需要登录开发者账号是错误的：AssumeRole既可以让用户扮演自己账号内的角色，也可以跨账号扮演，但如果是管理用户自己的资源，只需让用户在自己的AWS账号中创建一个最小权限角色，引导用户登录后通过AssumeRole获取该角色的临时凭证即可，全程不需要登录你的账号。

内容的提问来源于stack exchange，提问作者Shoujian Zheng