Vault跨账号AWS认证配置报错：dev-role角色未找到

针对你遇到的entry for role dev-role not found错误，按以下步骤排查和补充配置：

1. 确认角色是否成功创建 #

先执行以下命令验证dev-role是否存在：

vault read auth/aws/role/dev-role

如果返回错误，说明角色未创建成功：

• 检查创建角色的命令中[RemoteAccountID]是否已替换为真实的远程AWS账号ID；
• 重新执行角色创建命令，确保没有语法错误。

2. 验证登录命令的路径匹配 #

如果启用AWS认证时指定了非默认路径（比如vault auth enable -path=aws-cross aws），登录时需要显式指定路径：

vault login -method=aws path=aws-cross role=dev-role

若使用默认路径（aws），可跳过此步骤，但需确认登录命令未指定错误路径。

3. 完善远程账号中VaultRole的权限 #

Vault会扮演远程账号的VaultRole来验证实例身份，因此该角色需要添加以下权限策略：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeInstances",
                "iam:GetInstanceProfile",
                "iam:GetRole"
            ],
            "Resource": "*"
        }
    ]
}

4. 确保远程实例的IAM角色权限 #

远程账号的EC2实例所关联的IAM角色，需要允许sts:GetCallerIdentity动作，添加到其权限策略中：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "sts:GetCallerIdentity",
            "Resource": "*"
        }
    ]
}

5. 补充登录命令的必要参数 #

尝试在登录时指定与角色配置匹配的区域，避免区域不匹配导致的角色识别失败：

vault login -method=aws role=dev-role region=us-east-1

6. 验证STS配置正确性 #

确认STS配置命令中的[RemoteAccountID]已替换为真实值，且VaultRole的信任策略正确包含Vault所在账号的IAM实体（比如Vault实例的实例角色ARN）：

vault read auth/aws/config/sts/[RemoteAccountID]

返回结果应显示正确的sts_role ARN。

内容的提问来源于stack exchange，提问作者Metro