External-Secrets Operator调用IRSA角色异常：角色名被追加无效后缀

核心问题拆解 #

报错里的eks-backend-role-pre/external-secrets-provider-aws不是角色名失效，而是STS临时会话的格式——external-secrets-provider-aws是External-Secrets Operator的AWS Provider自动添加的会话名称（Session Name），而非角色后缀。真正的问题是：通过IRSA assume到的这个临时身份，没有被授权执行secretsmanager:GetSecretValue操作。

两个SecretStore共用同一个服务账号却表现不同，大概率是以下配置差异或权限遗漏导致：

排查与解决步骤 #

1. 检查IRSA角色的权限策略 #

你用于Parameter Store的SecretStore正常，说明角色eks-backend-role-pre有SSM Parameter Store的相关权限，但Secrets Manager的权限可能未配置：

• 打开AWS IAM控制台，找到eks-backend-role-pre的权限策略
• 确认策略中包含secretsmanager:GetSecretValue动作，且资源范围覆盖arn:aws:secretsmanager:你的区域:12345678:secret:/backend/pre/PRE_PRIVPGPKEY*（注意Secrets Manager的资源ARN格式末尾可能有随机后缀，建议用通配符覆盖）
• 示例权限策略片段：

  {
    "Effect": "Allow",
    "Action": "secretsmanager:GetSecretValue",
    "Resource": "arn:aws:secretsmanager:us-east-1:12345678:secret:/backend/pre/PRE_PRIVPGPKEY*"
  }
  

2. 对比两个SecretStore的AWS配置细节 #

即使共用同一个服务账号，两个SecretStore的spec.provider.aws配置可能存在差异：

• 检查用于Secrets Manager的SecretStore是否正确指定了roleARN（完整ARN），而非仅角色名：

  apiVersion: external-secrets.io/v1beta1
  kind: SecretStore
  metadata:
    name: secrets-manager-store
  spec:
    provider:
      aws:
        serviceAccountRef:
          name: 你的服务账号名
        roleARN: "arn:aws:iam::12345678:role/eks-backend-role-pre" # 必须是完整ARN
        region: us-east-1
        secretsManager: {}
  

• 如果未指定roleARN，Operator可能会使用默认的IRSA角色发现逻辑，导致会话权限匹配异常。

3. 检查IRSA角色的信任策略 #

确认信任策略没有限制会话名称（sts:RoleSessionName）：

• 打开eks-backend-role-pre的信任策略，查看是否有类似以下的Condition限制：

  "Condition": {
    "StringEquals": {
      "sts:RoleSessionName": "某个固定值"
    }
  }
  

• 如果有，需要添加external-secrets-provider-aws到允许列表，或者直接移除该Condition（IRSA场景下通常不需要限制会话名称）。

4. 验证权限有效性 #

用AWS CLI模拟该角色的权限，确认是否能正常获取Secret：

# 先通过IRSA获取临时凭证（或者直接用角色的权限测试）
aws sts assume-role --role-arn arn:aws:iam::12345678:role/eks-backend-role-pre --role-session-name external-secrets-provider-aws
# 用返回的临时凭证执行Secret获取操作
aws secretsmanager get-secret-value --secret-id /backend/pre/PRE_PRIVPGPKEY --region us-east-1

如果执行失败，说明权限策略确实存在问题，需要调整。

5. 版本兼容性检查（可选） #

虽然你升级到了v0.5.8，但可以查看External-Secrets Operator从v0.5.1到v0.5.8的变更日志，确认是否有AWS Provider角色assume逻辑的改动。不过由于Parameter Store的配置正常，这大概率不是核心问题。

内容的提问来源于stack exchange，提问作者RuBiCK