AWS Lambda凭据加载来源及C# Lambda上传时旧账户凭据读取问题咨询

Lambda加载凭据是按优先级顺序来的，常见来源如下：

• 环境变量：首先会检查AWS_ACCESS_KEY_ID和AWS_SECRET_ACCESS_KEY这两个环境变量，若存在则优先使用
• IAM执行角色：这是生产环境最常用的方式，若未设置环境变量，Lambda会自动使用函数配置的IAM执行角色，通过AWS STS获取临时凭据
• 容器凭证服务：如果是容器镜像运行的Lambda，会从容器内部的AWS凭证服务端点获取凭据
• 本地配置文件（仅开发测试场景）：在本地用SAM CLI、AWS CLI或VS Toolkit调试Lambda时，会读取本地~/.aws/credentials和~/.aws/config文件里的配置（比如默认配置文件或指定的profile）

你遇到的情况大概率是VS Toolkit或本地AWS配置的缓存/优先级问题，给你几个排查方向：

• VS AWS Toolkit的账户缓存：打开VS的AWS Explorer面板，看看当前选中的是不是旧账户？Toolkit常会记住之前的账户选择，哪怕你改了环境变量。可以去工具 > 选项 > AWS Toolkit里查看账户配置，移除旧账户或切换到正确账户
• 本地AWS配置文件：虽然理论上环境变量优先级高于本地配置文件，但VS Toolkit可能优先读取~/.aws/credentials里的默认profile。检查这个文件是否还保留旧账户的默认配置，或是项目里指定了旧的profile
• 项目调试/发布配置：右键Lambda项目，打开属性 > AWS选项卡，确认发布时选择的IAM角色是不是属于当前账户？或是调试配置里指定了旧的凭据来源
• 环境变量优先级问题：确认你设置的是系统级还是用户级环境变量？有时系统级环境变量会覆盖用户级的，检查系统环境变量里是否残留旧的AWS凭据配置
• IAM角色归属问题：错误提示里的IAM角色关联旧账户，可能是你上传Lambda时选错了角色。确认这个角色的ARN是否属于当前使用的账户，别选到旧账户的资源

内容的提问来源于stack exchange，提问作者Stefan