AWS IAM跨角色假设会话延长至2小时以上问题咨询

要让角色链（第二个角色扮演第一个角色）的临时凭证持续超过2小时，需要从角色配置、会话时长设置和凭证刷新三个维度调整，具体步骤如下：

1. 调整上游角色（被扮演的第一个角色）的最大会话时长 #

AWS IAM角色默认最大会话时长为1小时（3600秒），你需要将其修改为至少2小时（7200秒，最大可设为12小时/43200秒）：

• 控制台操作：进入IAM控制台→找到目标角色→切换到「配置」标签→在「最大会话时长」处设置为7200或更大值→保存。
• CLI操作：

aws iam update-role --role-name <上游角色名称> --max-session-duration 7200

2. 确保下游角色（发起扮演的第二个角色）的信任策略允许长会话 #

检查第一个角色的信任策略，确认已授权第二个角色扮演它，且未限制会话时长（默认不限制，除非显式添加条件）。信任策略示例：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::<账号ID>:role/<下游角色名称>"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

3. 扮演角色时指定会话时长 #

调用sts:AssumeRole获取第一个角色的凭证时，显式设置DurationSeconds参数，值需小于等于上游角色的最大会话时长，且不超过当前下游角色的剩余会话时长：

• CLI操作：

aws sts assume-role --role-arn <上游角色ARN> --role-session-name long-session-demo --duration-seconds 7200

• SDK配置：以Python boto3为例，初始化客户端时指定会话时长：

import boto3

sts_client = boto3.client('sts')
response = sts_client.assume_role(
    RoleArn='arn:aws:iam::<账号ID>:role/<上游角色名称>',
    RoleSessionName='long-session-demo',
    DurationSeconds=7200
)
# 使用返回的凭证初始化其他服务客户端
s3_client = boto3.client(
    's3',
    aws_access_key_id=response['Credentials']['AccessKeyId'],
    aws_secret_access_key=response['Credentials']['SecretAccessKey'],
    aws_session_token=response['Credentials']['SessionToken']
)

4. 实现凭证自动刷新（针对长时间运行的应用） #

如果是持续运行超过2小时的应用，不能依赖单次获取的凭证，需利用AWS SDK的自动刷新能力：

• 对于CLI：在~/.aws/config中配置角色链并指定时长，CLI会自动处理凭证刷新：

[profile role-chain-profile]
role_arn = arn:aws:iam::<账号ID>:role/<上游角色名称>
source_profile = <下游角色对应的配置文件>
duration_seconds = 7200

使用时指定该配置文件：aws s3 ls --profile role-chain-profile

• 对于SDK：多数AWS SDK（如boto3、AWS SDK for Java）支持通过角色链配置自动刷新凭证，无需手动处理过期逻辑。

注意事项 #

• 角色链最多支持3层嵌套，你的2层场景符合要求。
• 部分AWS服务可能对会话时长有额外限制，若遇到特定服务报错，需查阅对应服务文档。
• 会话时长最大值不能超过12小时，这是AWS IAM的全局限制。

内容的提问来源于stack exchange，提问作者Rutik Lohade