如何完全退出AWS SSO以测试S3读写权限？

问题根源 #

你当前使用的AWS CLI配置文件（profile）关联了SSO认证，所以即使执行退出操作，CLI依然会尝试读取该profile的SSO配置，导致令牌不存在或过期的报错。要测试完全退出（未认证）状态下的S3权限，需要让CLI脱离SSO认证逻辑。

解决方案 #

1. 彻底清除SSO会话

   • 先执行退出命令，清除本地SSO令牌：

     aws sso logout --profile <你的SSO配置profile名称>
     

   • 若不清楚profile名称，用aws configure list-profiles查看所有已配置的profile。
   • 可选：手动删除SSO缓存文件，路径为~/.aws/sso/cache/（Linux/macOS）或C:\Users\<用户名>\.aws\sso\cache\（Windows），删除该目录下所有文件确保彻底清除会话。

2. 临时用匿名身份执行命令
   通过环境变量强制覆盖认证配置，让CLI以匿名身份发起请求：

   AWS_ACCESS_KEY_ID='' AWS_SECRET_ACCESS_KEY='' AWS_SESSION_TOKEN='' aws s3 ls s3://[你的Bucket名称]
   

   这种方式直接跳过所有本地认证配置，测试未登录状态下的S3访问权限。如果返回AccessDenied，说明未认证时无权限；如果能列出内容，说明Bucket配置了公共读取权限。

3. 创建专门的匿名测试Profile（长期使用推荐）

   • 创建一个无认证的空profile：

     aws configure --profile anonymous
     

     提示输入密钥、区域等信息时直接回车留空即可。
   • 之后用该profile执行测试命令：

     aws s3 ls s3://[你的Bucket名称] --profile anonymous
     

4. 临时修改默认Profile（谨慎操作）

   • 找到AWS配置文件：~/.aws/config（Linux/macOS）或C:\Users\<用户名>\.aws\config（Windows）
   • 找到默认profile（通常是[default]段），注释掉所有SSO相关配置项（如sso_start_url、sso_account_id、sso_role_name）
   • 测试完成后，恢复注释的配置内容即可。

注意事项 #

• 匿名访问S3仅能访问配置了公共权限的Bucket或对象，否则必然返回AccessDenied，这是正常的权限控制结果。
• 若测试写入权限，匿名身份几乎不可能成功（除非Bucket配置了极宽松的公共写入权限，这在生产环境中是不推荐的）。

内容的提问来源于stack exchange，提问作者mugi