使用boto3假设IAM角色是否需传递SSO配置文件凭证？无指定profile为何可行？

首先明确：boto3确实会自动读取配置文件中的default profile，这就是别人无需指定profile就能成功执行角色假设操作的原因。

原因拆解 #

当你直接调用boto3.client('sts')时，boto3会按照凭证加载优先级查找可用的凭证，本地配置文件（~/.aws/credentials或~/.aws/config）里的[default]条目是优先级较高的来源之一。

你遇到报错的核心原因是：

• 你的配置文件里没有设置[default] profile，或者[default]对应的凭证没有权限执行assume_role操作，也或者[default]的配置存在错误（比如密钥无效）。
• 而你指定的test_profile配置正确，且拥有足够权限，所以能成功调用。

验证与解决方法 #

1. 检查默认profile配置 #

打开~/.aws/credentials文件，确认是否存在[default]段：

[default]
aws_access_key_id = YOUR_ACCESS_KEY
aws_secret_access_key = YOUR_SECRET_KEY

如果这个段不存在，或者凭证无效，直接用boto3.client('sts')就会报错。

2. 两种解决途径 #

• 设置默认profile：把你常用的test_profile配置复制到[default]段，或者临时通过环境变量指定：

  export AWS_PROFILE=test_profile
  

  这样后续直接调用boto3.client('sts')就会自动使用test_profile的配置。
• 保持多profile使用习惯：如果需要切换不同profile，继续在代码里显式指定profile_name，或者通过环境变量动态切换。

你的成功代码格式化整理 #

import boto3
from boto3.session import Session

session = boto3.Session(profile_name="test_profile")
sts = session.client("sts")
response = sts.assume_role(
    RoleArn="arn:aws:iam::xxx:role/role-name",
    RoleSessionName="test-session"
)
new_session = Session(
    aws_access_key_id=response['Credentials']['AccessKeyId'],
    aws_secret_access_key=response['Credentials']['SecretAccessKey'],
    aws_session_token=response['Credentials']['SessionToken']
)

内容的提问来源于stack exchange，提问作者qabootar