如何启用区域AWS Security Token Service(STS)并解决AWS CLI报错

常见原因及修复步骤 #

• 强制CLI使用区域STS端点
  中东巴林（me-south-1）、阿联酋（me-central-1）区域的STS服务需要显式指定区域端点，默认全局端点可能无法正常适配。两种配置方式：

  1. 单命令临时指定：

     aws sts get-caller-identity --endpoint-url https://sts.me-south-1.amazonaws.com --region me-south-1
     

     （将me-south-1替换为me-central-1即可适配阿联酋区域）
  2. 持久化配置到CLI文件：
     编辑本地AWS配置文件（Linux/macOS为~/.aws/config，Windows为C:\Users\<你的用户名>\.aws\config），添加以下内容：

     [profile me-region]
     region = me-south-1
     sts_regional_endpoints = regional
     

     之后使用该配置文件执行命令：

     aws sts get-caller-identity --profile me-region
     

• 验证IAM权限有效性
  确认当前使用的IAM用户/角色拥有sts:GetCallerIdentity等基础STS操作权限，且权限策略未限制中东区域的访问范围。

• 排查网络连通性
  测试本地网络能否正常访问目标区域STS端点：

  curl https://sts.me-south-1.amazonaws.com
  

补充说明 #

启用STS区域端点后仍报错，多数情况是CLI默认优先调用全局端点而非区域端点导致的。设置sts_regional_endpoints = regional可强制CLI使用对应区域的专属STS端点，避免跨区域访问冲突。

内容的提问来源于stack exchange，提问作者Faroug Aziez