ASP.NET Core用带MFA的AWS Profile访问Secrets Manager遇报错

你的问题出在带MFA的AWS Profile需要手动指定MFA令牌回调函数，默认的GetAWSCredentials方法不会自动触发IDE的AWS Toolkit弹窗获取令牌，必须在代码中明确处理MFA令牌的输入逻辑。

解决办法一：代码中添加MFA令牌输入回调 #

修改现有代码，在调用GetAWSCredentials时传入AWSCredentialsFactoryOptions，指定回调函数让程序运行时提示输入MFA码：

var chain = new Amazon.Runtime.CredentialManagement.CredentialProfileStoreChain();
if (chain.TryGetProfile("PROFILE_NAME", out var profile))
{
    var credentials = profile.GetAWSCredentials(profile.CredentialProfileStore, new Amazon.Runtime.CredentialManagement.AWSCredentialsFactoryOptions
    {
        MfaTokenCodeCallback = () =>
        {
            Console.WriteLine("请输入MFA令牌：");
            return Console.ReadLine();
        }
    });

    builder.Configuration.AddSecretsManager(credentials, profile.Region);
}

运行程序后，控制台会提示输入MFA令牌，输入后即可正常加载Secrets Manager的配置。

解决办法二：提前缓存临时凭证（适合开发环境） #

通过AWS CLI生成带MFA的临时凭证并缓存，代码无需修改即可直接使用缓存的凭证：

1. 执行以下CLI命令（替换占位符为你的实际ARN和MFA码）：

aws sts assume-role --role-arn arn:aws:iam::***:role/Admin --role-session-name dev-session --serial-number arn:aws:iam::***:mfa/你的MFA设备ARN --token-code 123456

2. 命令执行后，临时凭证会自动缓存到~/.aws/cli/cache目录，CredentialProfileStoreChain会自动读取这些缓存的凭证，直到凭证过期（默认1小时）。

注意事项 #

• IDE的AWS Toolkit仅用于IDE内部的AWS操作（如资源查看、部署），不会自动为你的应用程序提供MFA令牌输入弹窗，必须在代码中手动处理回调或提前缓存凭证。
• 生产环境不建议使用控制台输入MFA码的方式，应采用IAM角色或其他安全的凭证管理方案。

内容的提问来源于stack exchange，提问作者Shaddix