跨账号Kinesis读取STS凭证过期，如何实现双层角色凭证自动刷新？

问题背景 #

已配置跨账号读取Kinesis流，但客户端读取记录时出现安全令牌过期错误。当前流程是通过STS Assume Role先获取账号A的RoleA凭证，再以此获取账号B的RoleB凭证，最终生成Kinesis客户端，但该客户端默认1小时后过期，无自动刷新机制。已知stscreds.AssumeRoleProvider支持凭证刷新，但不清楚如何实现双层（RoleA→RoleB）凭证的自动刷新，或是否需要重新初始化Kinesis客户端。

核心解决方案 #

AWS SDK for Go的CredentialsCache会自动处理凭证刷新，关键是要让第二层AssumeRole的凭证提供者直接依赖第一层的缓存凭证链，而非单独创建中间STS客户端，这样两层缓存机制能联动触发自动刷新，无需重新初始化Kinesis客户端。

修改后的代码 #

import (
    "context"
    "time"

    "github.com/aws/aws-sdk-go-v2/aws"
    "github.com/aws/aws-sdk-go-v2/config"
    "github.com/aws/aws-sdk-go-v2/service/kinesis"
    "github.com/aws/aws-sdk-go-v2/service/sts"
    "github.com/aws/aws-sdk-go-v2/service/sts/stscreds"
)

func NewCrossAccountKinesisClient(roleToAssumeArn1, roleToAssumeArn2 string) (*kinesis.Client, error) {
    // 加载基础配置（使用当前环境默认凭证）
    baseCfg, err := config.LoadDefaultConfig(context.TODO(), config.WithRegion("us-west-2"))
    if err != nil {
        return nil, err
    }

    // 第一层：获取RoleA的带缓存凭证提供者
    roleACreds := aws.NewCredentialsCache(stscreds.NewAssumeRoleProvider(
        sts.NewFromConfig(baseCfg),
        roleToAssumeArn1,
        func(o *stscreds.AssumeRoleOptions) {
            o.Duration = aws.Duration(55 * time.Minute) // 缩短会话时长，提前触发刷新
            o.RoleSessionName = "cross-account-step1"
        },
    ))

    // 第二层：基于RoleA的缓存凭证，获取RoleB的带缓存凭证提供者
    roleBCreds := aws.NewCredentialsCache(stscreds.NewAssumeRoleProvider(
        sts.NewFromConfig(baseCfg, func(o *sts.Options) {
            o.Credentials = roleACreds // 直接绑定第一层缓存凭证
        }),
        roleToAssumeArn2,
        func(o *stscreds.AssumeRoleOptions) {
            o.Duration = aws.Duration(55 * time.Minute)
            o.RoleSessionName = "cross-account-step2"
        },
    ))

    // 加载最终配置，使用RoleB的缓存凭证
    finalCfg, err := config.LoadDefaultConfig(context.TODO(),
        config.WithRegion("us-west-2"),
        config.WithCredentialsProvider(roleBCreds),
    )
    if err != nil {
        return nil, err
    }

    // 创建Kinesis客户端，后续自动使用刷新后的凭证
    return kinesis.NewFromConfig(finalCfg), nil
}

关键说明 #

• 缓存联动刷新：两层凭证提供者都通过aws.NewCredentialsCache包裹，SDK会在凭证接近过期时自动触发刷新逻辑。
• 缩短会话时长：将Duration设为55分钟（短于默认1小时），让缓存提前发起刷新请求，避免请求执行过程中令牌过期。
• 直接依赖凭证链：第二层STS客户端直接绑定第一层的缓存凭证，当RoleA凭证刷新后，RoleB的凭证会自动基于新的RoleA凭证重新获取。
• 无需重建客户端：Kinesis客户端只需初始化一次，后续所有请求都会自动从缓存中获取最新的有效凭证。

内容的提问来源于stack exchange，提问作者Wosabi