AWS CLI默认凭证无法列S3桶，指定Profile可正常访问的问题

问题分析 #

你当前的AWS配置中，指定--profile profile_name能正常访问S3，但默认调用失败，且设置AWS_PROFILE/AWS_DEFAULT_PROFILE未生效；同时Gsutil同步因权限问题失败。核心原因是默认profile未正确关联到有权限的role配置，且Gsutil未正确读取AWS的profile设置。

解决步骤 #

1. 修复AWS CLI默认Profile生效问题 #

方案A：确保环境变量正确加载

• 先验证当前环境变量是否生效：

  echo $AWS_PROFILE
  

  若输出不是profile_name，执行以下命令临时生效：

  export AWS_PROFILE=profile_name
  

  再测试aws s3 ls是否正常。
• 要永久生效，将环境变量配置添加到shell配置文件（如~/.bashrc、~/.zshrc）：

  echo 'export AWS_PROFILE=profile_name' >> ~/.bashrc
  source ~/.bashrc
  

方案B：直接修改AWS Config设置默认Profile

打开~/.aws/config，添加或替换[default]段，复用profile_name的配置逻辑：

[default]
role_arn = <你的Role ARN>
credential_source = Environment

保存后无需设置环境变量，默认调用aws s3 ls即可使用该role权限。

2. 修复Gsutil同步S3的权限问题 #

Gsutil不会自动读取AWS_PROFILE环境变量，需配置.boto文件关联AWS profile：

• 打开或创建~/.boto文件，添加以下内容：

[Credentials]
aws_profile = profile_name

若你用了方案B设置默认profile，也可改为aws_profile = default。

• 测试同步命令：

  gsutil rsync gs://your-gcs-bucket s3://your-s3-bucket
  

额外排查点 #

• 确认环境变量中的AWS_ACCESS_KEY_ID、AWS_SECRET_ACCESS_KEY、AWS_SESSION_TOKEN为最新有效的临时凭证（避免过期）。
• 若使用定时任务（如Cron）执行同步，需确保任务能读取到环境变量：可在Cron脚本中显式添加export AWS_PROFILE=profile_name，或加载shell配置文件（如source ~/.bashrc）。

内容的提问来源于stack exchange，提问作者RolandDeschain