如何让本地PC永久认证AWS（含Leapp），无需重复输入MFA码？

方案一：使用Leapp自动刷新凭证 #

Leapp原生支持自动刷新带MFA的AWS临时凭证，配置步骤如下：

• 打开Leapp，进入你的AWS账户配置界面
• 找到MFA设置模块，勾选「自动获取MFA令牌」选项
• 导入你的MFA设备对应的TOTP密钥（务必妥善备份密钥，避免泄露）
• 设置凭证刷新间隔（建议比临时凭证有效期提前5-10分钟，比如默认STS凭证有效期120分钟，设为每110分钟刷新）
• 保持Leapp在后台持续运行，不要关闭，它会自动更新本地环境变量或AWS配置文件中的有效凭证，确保连接不中断

方案二：AWS CLI + 自动MFA脚本 #

如果不想用Leapp，可以通过脚本自动生成MFA令牌并刷新STS临时凭证：

1. 初始化配置
   第一次手动输入MFA码获取初始凭证：

   aws sts get-session-token --serial-number arn:aws:iam::[你的账户ID]:mfa/[你的用户名] --token-code [你的MFA码]
   

   将输出的AccessKeyId、SecretAccessKey、SessionToken写入~/.aws/credentials文件。

2. 编写自动刷新脚本
   安装oath-toolkit（用于生成TOTP令牌），然后创建脚本refresh-aws-creds.sh：

   #!/bin/bash
   # 从安全存储中读取TOTP密钥，避免明文暴露
   MFA_SECRET=$(cat ~/.mfa-secret.txt)
   MFA_CODE=$(oathtool --totp -b "$MFA_SECRET")
   # 调用STS刷新凭证
   aws sts get-session-token --serial-number arn:aws:iam::[你的账户ID]:mfa/[你的用户名] --token-code $MFA_CODE > /tmp/aws-temp-creds.json
   # 更新credentials文件
   jq -r '.Credentials | "[default]\naws_access_key_id = \(.AccessKeyId)\naws_secret_access_key = \(.SecretAccessKey)\naws_session_token = \(.SessionToken)"' /tmp/aws-temp-creds.json > ~/.aws/credentials
   rm /tmp/aws-temp-creds.json
   

   给脚本添加执行权限：chmod +x refresh-aws-creds.sh

3. 设置定时任务
   用crontab每110分钟执行一次脚本（避开凭证过期时间）：

   */110 * * * * /path/to/refresh-aws-creds.sh
   

方案三：使用AWS Vault工具 #

AWS Vault是专门管理AWS凭证的工具，支持自动MFA刷新：

1. 安装AWS Vault后，添加你的账户配置：

   aws-vault add your-aws-profile
   

   按照提示输入IAM密钥、MFA设备ARN和TOTP密钥。

2. 启动持久化凭证服务：

   aws-vault exec your-aws-profile --server
   

   该服务会在后台自动刷新凭证，本地应用可通过环境变量或AWS SDK自动获取有效凭证，无需手动干预。

安全注意事项 #

• TOTP密钥是核心敏感信息，务必加密存储，不要明文写在脚本中
• 确保本地PC开启磁盘加密、锁屏密码等安全防护，避免密钥泄露
• 定期轮换IAM用户的访问密钥，降低泄露风险

内容的提问来源于stack exchange，提问作者Brendan Hill