如何通过Python从AWS_CONFIG_FILE按Profile解析role_arn？

我通过AWS_CONFIG_FILE环境变量让boto3会话能访问多账号的AWS配置文件，配置文件内容如下：

[profile profile1]
credential_source Environment
region=us-east-whatever
role_arn=arn:aws:iam:<ACCOUNT NUMBER 1>:role/all-profiles-same-role-name
[profile profile2]
credential_source Environment
region=us-east-whatever
role_arn=arn:aws:iam:<ACCOUNT NUMBER 2>:role/all-profiles-same-role-name
[profile profileN]
credential_source Environment
region=us-east-whatever
role_arn=arn:aws:iam:<ACCOUNT NUMBER N>:role/all-profiles-same-role-name

目前我在Python代码中用boto3的RefreshableCredentials时，是硬编码单个role_arn的，核心代码如下：

def __get_session_credentials(self):
    # 目前硬编码单个role_arn，需要改成可根据Profile动态获取
    session_ttl=3000
    aws_role_arn="arn:aws:iam::<ACCOUNT NUM>:role/all-profiles-same-role-name"
    ...

我希望能根据指定的Profile从配置文件中解析对应的role_arn，让这个函数更具扩展性，具体该怎么实现？

可以利用Python标准库的configparser模块解析AWS配置文件，结合AWS_CONFIG_FILE环境变量定位配置文件路径，实现按Profile动态获取role_arn的功能，具体步骤如下：

1. 编写配置文件解析函数 #

先实现一个工具函数，负责读取配置文件并根据传入的Profile名称返回对应的role_arn：

import os
import configparser

def get_role_arn_from_profile(profile_name):
    # 优先从环境变量取配置文件路径，默认使用~/.aws/config
    config_path = os.environ.get('AWS_CONFIG_FILE', os.path.expanduser('~/.aws/config'))
    
    config = configparser.ConfigParser()
    config.read(config_path)
    
    # AWS配置文件中Profile的section格式为[profile {profile_name}]
    section_name = f'profile {profile_name}'
    if not config.has_section(section_name):
        raise ValueError(f"Profile '{profile_name}' not found in AWS config file")
    
    try:
        return config.get(section_name, 'role_arn')
    except configparser.NoOptionError:
        raise ValueError(f"Profile '{profile_name}' does not have a 'role_arn' entry")

2. 整合到凭证获取函数中 #

修改__get_session_credentials函数，添加Profile参数，调用上面的解析函数动态获取role_arn：

def __get_session_credentials(self, profile_name):
    session_ttl = 3000
    # 动态获取对应Profile的role_arn
    aws_role_arn = get_role_arn_from_profile(profile_name)
    
    # 后续的RefreshableCredentials逻辑保持不变，替换硬编码的role_arn即可
    ...

3. 异常处理说明 #

• 若指定的Profile不存在，会抛出ValueError，可根据业务需求捕获处理（比如返回默认Profile凭证、提示用户输入正确Profile）
• 若Profile下无role_arn配置项，同样会抛出ValueError，需确保目标Profile都正确配置了该字段

额外优化点 #

可以添加缓存逻辑，避免重复读取配置文件，用lru_cache装饰器缓存解析结果：

from functools import lru_cache

@lru_cache(maxsize=None)
def get_role_arn_from_profile(profile_name):
    # 原函数内容不变
    ...

这样同一个Profile的role_arn只会被解析一次，提升性能。

内容的提问来源于stack exchange，提问作者Robert Campbell