IAM角色链会话超时问题：需延长至2小时以完成跨账号EKS数据处理

方案1：调整角色链的会话时长配置 #

• 检查链中每一个IAM角色的MaxSessionDuration属性，将其设置为2小时（7200秒）或更长。角色链的最大会话时长由链中配置最短的角色决定，因此所有参与扮演的角色都需调整。
• 修改角色配置命令示例：

  aws iam update-role --role-name <目标角色名称> --max-session-duration 7200
  

• 重新扮演角色时指定会话时长：

  aws sts assume-role --role-arn <目标角色ARN> --role-session-name <自定义会话名> --duration-seconds 7200
  

方案2：拆分执行流程实现凭据自动刷新 #

• 将单Jar命令拆分为凭据刷新脚本+任务执行两部分：脚本后台定期刷新AWS临时凭据，Jar进程动态读取最新凭据。
• 具体步骤：
  1. 编写Shell脚本，循环调用aws sts assume-role刷新凭据，将AWS_ACCESS_KEY_ID、AWS_SECRET_ACCESS_KEY、AWS_SESSION_TOKEN写入临时文件。
  2. Jar启动时从临时文件加载凭据作为环境变量，或配置AWS SDK自动监听环境变量更新。
  3. 脚本持续运行至Jar任务结束，确保凭据始终有效。

方案3：用EKS Pod角色替代跨账号角色链 #

• 在EKS集群所属账号创建IAM角色，配置信任策略允许执行任务的AWS账号实体关联该角色到EKS Pod。
• 通过eksctl或控制台为Pod绑定IAM角色，Pod内的Jar任务直接使用Pod角色的凭据，规避角色链的超时限制。

注意事项 #

• AWS默认IAM角色的MaxSessionDuration为1小时，必须手动调整才能延长会话。
• 若使用AWS SDK，需确保客户端配置了自动刷新逻辑（如Java SDK的DefaultAWSCredentialsProviderChain可自动识别环境变量更新）。

内容的提问来源于stack exchange，提问作者Rutik Lohade