如何在Docker容器中通过SSO登录AWS（使用aws-sdk v3）

问题背景 #

本地Node.js（基于aws-sdk v3）环境通过aws configure sso和aws sso login操作后，可正常访问S3存储桶。但使用Docker Compose（基于node:18-alpine镜像）运行应用时，持续抛出错误：

The SSO session associated with this profile is invalid. To refresh this SSO session run aws sso login with the corresponding profile.

当前手动进入容器安装AWS CLI并执行登录操作，但会话仍持续失效，需解决两个核心问题：1. 将AWS CLI安装流程整合到Docker构建环节；2. 修复SSO会话失效的根源问题。

解决方案一：将AWS CLI安装整合到Docker构建流程 #

放弃手动进入容器安装的方式，通过Dockerfile自动构建包含AWS CLI的自定义镜像，步骤如下：

1. 编写Dockerfile #

FROM node:18-alpine

# 安装依赖并部署AWS CLI v2
RUN apk update && apk add --no-cache curl gcompat zip \
    && curl -s https://awscli.amazonaws.com/awscli-exe-linux-x86_64-2.1.39.zip -o awscliv2.zip \
    && unzip awscliv2.zip \
    && ./aws/install \
    && rm -rf awscliv2.zip aws

# 设置应用工作目录
WORKDIR /app

# 复制依赖配置并安装
COPY package*.json ./
RUN npm install

# 复制应用代码
COPY . .

# 启动应用（替换为你的入口文件）
CMD ["node", "index.js"]

2. 更新docker-compose.yml #

使用自定义构建镜像，并添加必要的环境变量与卷挂载：

version: '3.8'
services:
  api:
    build: .
    environment:
      - AWS_PROFILE=your-profile-name
      - AWS_REGION=your-target-region
    # 挂载本地AWS配置与SSO会话缓存（核心步骤）
    volumes:
      - ~/.aws/config:/root/.aws/config
      - ~/.aws/sso/cache:/root/.aws/sso/cache
    ports:
      - "3000:3000"

解决方案二：修复SSO会话失效问题 #

报错根源是容器内的AWS配置/会话与本地环境隔离，无法读取本地已生效的SSO会话，或容器内会话未持久化。以下是关键修复措施：

1. 复用本地SSO会话（推荐方案） #

通过Docker卷挂载本地~/.aws/config和~/.aws/sso/cache目录到容器的/root/.aws/路径，容器内的Node.js应用可直接读取本地已通过aws sso login获取的有效会话，无需在容器内重复执行登录操作。

2. 简化代码中的凭证配置 #

挂载配置后，无需手动传递所有SSO参数，只需指定profile即可让SDK自动读取配置文件：

const { S3Client } = require('@aws-sdk/client-s3');
const { fromSSO } = require('@aws-sdk/credential-provider-sso');

// 仅指定profile，其余参数由SDK从配置文件自动读取
const credentials = fromSSO({
  profile: process.env.AWS_PROFILE,
});

const client = new S3Client({ 
  credentials,
  region: process.env.AWS_REGION
});

3. 验证容器内会话有效性 #

若问题仍存在，可进入容器排查配置与会话状态：

docker compose exec api sh
# 检查配置文件是否挂载成功
cat /root/.aws/config
# 检查SSO缓存文件是否存在
ls /root/.aws/sso/cache
# 测试S3访问权限
aws s3 ls --profile your-profile-name

注意事项 #

• 确保本地已完成aws configure sso和aws sso login操作，会话处于有效状态
• 容器默认以root用户运行，因此挂载路径为/root/.aws/，若使用非root用户需调整挂载目标路径
• 保持AWS CLI与aws-sdk版本兼容性，避免因版本差异导致会话解析失败

内容的提问来源于stack exchange，提问作者Denis Yakovenko