联邦账号下，如何让.NET SDK复用AWS CLI的凭证访问S3？

1. 复用EC2实例IAM角色（最优方案） #

如果你的EC2实例已配置具备S3读写权限的IAM角色，.NET SDK会自动通过**实例元数据服务（IMDS）**获取临时凭证，无需手动配置密钥，AWS会自动轮换凭证（默认有效期6小时），完全规避过期问题。

代码直接使用默认构造函数即可：

var s3client = new AmazonS3Client();

这和你在EC2上执行aws s3 ls s3://mybucket能正常访问的逻辑一致——CLI同样默认从实例元数据获取凭证，SDK会按优先级自动加载：先检查实例元数据，再读取本地配置文件、环境变量等。

2. 复用本地CLI凭证缓存（仅本地开发场景） #

若在本地开发时想复用CLI已生成的临时MFA凭证，.NET SDK会自动读取CLI的凭证缓存文件（默认路径：~/.aws/credentials 或 %USERPROFILE%\.aws\credentials）。

若使用非默认Profile，可设置环境变量AWS_PROFILE为目标Profile名称，或在代码中指定：

var s3client = new AmazonS3Client(new AmazonS3Config(), new StoredProfileAWSCredentials("your-profile-name"));

注意：该方法不适用于EC2生产环境，临时凭证过期后需手动重新生成，无法自动化。

关于SecretManager和ParameterStore的说明 #

这两个服务适合存储静态密钥，但临时凭证存在过期问题，存入后需定期更新，反而增加复杂度，确实不适用你的场景。

内容的提问来源于stack exchange，提问作者Lacrosse343