如何配置可自动刷新AccessToken的AWS IAM角色？

• AWS IAM角色本身没有内置的自动刷新AccessToken配置，但boto3库自带了临时凭证自动刷新的机制，无需额外配置角色。
• 你找到的SessionDuration设置只是延长单次角色会话的有效期（上限12小时，部分角色类型可能有不同限制），和自动刷新是两个概念。

用boto3自动刷新凭证的正确姿势 #

如果你的AWS配置文件通过source_profile关联基础凭证，再指定role_arn让boto3自动扮演角色，boto3会自动处理凭证刷新：

1. 在~/.aws/config中配置角色profile：

[profile s3-role-profile]
source_profile = your-base-profile
role_arn = arn:aws:iam::123456789012:role/YourS3AccessRole
region = us-east-1

2. Python代码中直接用该profile初始化客户端：

import boto3

s3 = boto3.Session(profile_name='s3-role-profile').client('s3')
# 后续调用S3接口时，boto3会自动检测凭证过期时间，快过期时自动调用STS AssumeRole刷新

手动调用AssumeRole的处理方式 #

如果是自己手动调用sts.assume_role()获取临时凭证再初始化客户端，就得自己实现刷新逻辑：

• 记录凭证的Expiration时间戳
• 每次调用AWS API前检查是否即将过期，若过期则重新调用assume_role()获取新凭证，再更新客户端的凭证

注意点 #

• 确保使用较新版本的boto3，旧版本可能存在自动刷新的bug
• 不要手动硬编码临时凭证到代码里，依赖boto3的配置文件或凭证链机制才能实现自动刷新

内容的提问来源于stack exchange，提问作者300