无法将AWS SSO凭据与CDK配合使用的问题求助

问题概述 #

根据CDK PR #19454及v2.18.0版本说明，AWS CDK应当支持通过AWS CLI v2的SSO配置文件直接使用凭据，但实际使用中遇到障碍：

• AWS CLI可正常完成SSO认证（aws sso login --profile "DEV-NN-HSMX"），且aws sts get-caller-identity、aws s3 ls等命令能正常执行，验证了凭据有效性
• 所有CDK命令均报错Unable to resolve AWS account to use，启用日志后可见ProcessCredentialsProviderFailure: Profile DEV-NN-HSMX did not include credential process提示
• 仅通过yawsso --profiles DEV-NN-HSMX将临时凭据导入.aws/credentials后，CDK才能正常引导和部署

环境信息 #

• AWS CLI v2.7.16
• AWS CDK v2.33.0
• .aws/config脱敏配置：

[profile DEV-NN-HSMX]
sso_start_url = https://my-company-url.awsapps.com/start#/
sso_region = eu-central-1
sso_account_name = MY-ACCOUNT
sso_account_id = MY-ACCOUNT-ID
sso_role_name = AdministratorAccess
region = eu-central-1

排查方向与解决建议 #

1. 升级CDK到最新稳定版本 #

CDK v2.33.0可能存在SSO凭据解析的兼容性bug，后续版本（如v2.40+）已修复相关问题。执行升级命令：

npm install -g aws-cdk@latest

升级后重新测试CDK命令。

2. 强制确保AWS SDK配置加载 #

尽管cdk doctor显示AWS_SDK_LOAD_CONFIG=1已设置，但可在执行CDK命令前显式导出变量，避免环境变量加载异常：

export AWS_SDK_LOAD_CONFIG=1
cdk deploy --profile DEV-NN-HSMX

3. 检查SSO配置格式与内容准确性 #

• 确认.aws/config中sso_account_id、sso_role_name与AWS SSO控制台配置完全一致，无拼写错误
• 临时修改profile名称为无特殊字符格式（如DEVNNHSMX），测试是否因特殊字符导致解析失败

4. 清除CDK与AWS缓存 #

• 清除CDK全局缓存：

cdk cache clear

• 删除~/.aws/sso/cache和~/.aws/cli/cache目录下的所有文件，重新执行aws sso login --profile DEV-NN-HSMX后测试CDK命令

5. 排查CA Bundle影响 #

环境中设置的AWS_CA_BUNDLE可能导致CDK请求SSO凭据时出现证书验证问题，临时取消该变量测试：

unset AWS_CA_BUNDLE
cdk deploy --profile DEV-NN-HSMX

6. 代码中显式指定SSO凭据提供者 #

在CDK栈代码中手动配置SSO凭据，强制使用SSO凭据链：

import { SsoCredentials } from '@aws-sdk/credential-provider-sso';
import { App, Stack } from 'aws-cdk-lib';

const app = new App();
const stack = new Stack(app, 'MyStack', {
  credentials: new SsoCredentials({
    profile: 'DEV-NN-HSMX'
  }),
  env: {
    account: 'MY-ACCOUNT-ID',
    region: 'eu-central-1'
  }
});

注意：需确保项目已安装@aws-sdk/credential-provider-sso依赖。

总结 #

优先尝试升级CDK版本，这是解决此类版本兼容性问题最直接的方式。同时持续关注CDK Issues #21314的更新，等待官方文档完善或bug修复。

内容的提问来源于stack exchange，提问作者Henrik Stanley Mortensen