启用IAM Identity Center SSO的命名配置文件下Node.js无法识别AWS凭证

已知情况 #

• AWS CLI通过aws s3 ls --profile lalala可正常访问资源
• Node.js应用启动命令AWS_PROFILE=lalala nodemon -L报错：Missing credentials in config, if using AWS_CONFIG_FILE, set AWS_SDK_LOAD_CONFIG=1
• 已尝试设置AWS_SDK_LOAD_CONFIG=1但问题依旧
• 当前~/.aws/config配置：

[profile lalala]
sso_account_id = XXXXXXXXXXXX
sso_role_name = permission-set-name
sso_region = **-****-**
sso_start_url = https://******.awsapps.com/start

可行解决方案 #

1. 确保启动命令同时加载配置变量 #

将两个环境变量合并到启动命令中，避免环境变量未正确传递：

AWS_PROFILE=lalala AWS_SDK_LOAD_CONFIG=1 nodemon -L

2. 检查Node.js AWS SDK版本 #

• AWS SDK v2需要v2.1000.0及以上版本才支持SSO凭证，若版本过低请升级：

  npm update aws-sdk
  

• 推荐使用AWS SDK v3，其对SSO的支持更完善，可通过@aws-sdk/credential-providers包中的fromSSO方法直接加载凭证：

  const { fromSSO } = require("@aws-sdk/credential-providers");
  const { S3Client, ListBucketsCommand } = require("@aws-sdk/client-s3");
  
  const client = new S3Client({
    credentials: fromSSO({ profile: "lalala" }),
    region: "你的资源区域"
  });
  
  // 示例调用验证
  client.send(new ListBucketsCommand({})).then(console.log).catch(console.error);
  

3. 导出临时凭证到credentials文件 #

通过AWS CLI导出SSO临时凭证，让Node.js SDK直接读取：

1. 先执行aws sso login --profile lalala完成SSO登录
2. 导出凭证到~/.aws/credentials：

   aws configure export-credentials --profile lalala --format ini >> ~/.aws/credentials
   

   执行后credentials文件会新增类似内容：

   [lalala]
   aws_access_key_id = 临时访问密钥ID
   aws_secret_access_key = 临时秘密访问密钥
   aws_session_token = 临时会话令牌
   

3. 重新启动Node.js应用即可读取临时凭证

4. 排查环境变量冲突 #

检查是否存在AWS_ACCESS_KEY_ID、AWS_SECRET_ACCESS_KEY等环境变量，这些变量会优先于SSO配置被SDK读取，若存在请临时取消设置：

unset AWS_ACCESS_KEY_ID AWS_SECRET_ACCESS_KEY AWS_SESSION_TOKEN

内容的提问来源于stack exchange，提问作者trynaLearn