AWS自动化脚本临时凭证自动更新及本地Boto调用方案咨询

你遇到的凭证1小时过期问题，本质是把临时凭证硬编码到脚本/静态配置里，完全没用到Boto3原生的自动凭证管理与刷新能力，根本不需要自己写定时任务刷凭证，按下面优先级选方案即可：

方案1：基于AWS CLI配置实现凭证自动刷新（最推荐，零额外业务代码侵入） #

这是本地开发、半自动化场景下成本最低的方案，全程不需要手动复制更新凭证，Boto3会自动完成过期续期：

• 如果企业用IAM Identity Center（原SSO）做身份管理，直接在终端执行aws configure sso，按照提示输入SSO入口地址、区域、默认输出格式，完成浏览器授权后给配置命名（比如automation-profile）即可
• 如果是通过跨账号角色拿临时凭证，直接编辑~/.aws/config添加角色配置即可，示例如下：

[profile cross-account-automation]
region = cn-north-1
role_arn = arn:aws-cn:iam::123456789012:role/YourScriptRole
credential_source = Environment

• 脚本里不需要硬编码任何凭证字段，初始化Boto客户端时直接指定配置名即可：

import boto3
ec2_client = boto3.Session(profile_name="automation-profile").client("ec2")

核心逻辑：Boto3默认凭证提供链会自动读取本地CLI配置，当检测到缓存的临时凭证剩余有效期不足15分钟时，会自动在后台调用STS/SSO接口拉取新凭证，全程无人工干预。SSO授权本身有效期一般为8-12小时，到期后会自动唤起浏览器完成一次授权即可，比手动复制三个凭证字段效率高10倍以上。

方案2：使用最小权限长周期密钥（适配完全无人值守的本地自动化场景） #

如果脚本需要7*24小时在本地机器运行，连定期SSO授权都无法接受，可以用IAM用户的长周期凭证，不存在1小时过期限制：

• 到IAM控制台创建专属的自动化脚本用户，只给脚本运行必需的最小权限，绝对不要绑定管理员全权限策略
• 为该用户创建永久Access Key、Secret Access Key，将凭证配置到本地~/.aws/credentials文件中，不要硬编码在脚本代码里：

[default]
aws_access_key_id = 你的AK值
aws_secret_access_key = 你的SK值
region = cn-north-1

安全提醒：永久密钥泄露风险远高于临时凭证，需要将本地credentials文件权限设置为仅当前用户可读，绝对不要把带凭证的文件提交到代码仓库，建议每90天轮换一次密钥。

方案3：自定义凭证刷新逻辑（仅适合有特殊定制需求的场景） #

如果你的临时凭证是对接内部自研凭证服务获取，无法通过标准AWS CLI配置实现自动刷新，可以用Boto3原生的可刷新凭证类实现自动更新，不需要自己写外层重试逻辑：

• 封装一个凭证获取函数，逻辑和你现在手动拉取临时凭证的流程完全一致，返回值必须包含新的AK、SK、Session Token、过期时间四个字段
• 初始化Boto会话时传入自定义刷新方法，Boto3会在凭证快过期时自动调用该方法拉取新凭证
  示例代码片段：

import boto3
from botocore.credentials import RefreshableCredentials
from botocore.session import get_session

def fetch_fresh_credentials():
    # 这里替换成你自己的凭证拉取逻辑，比如调用内部凭证接口、执行自定义STS请求等
    return {
        "access_key": "新的Access Key",
        "secret_key": "新的Secret Access Key",
        "token": "新的Session Token",
        "expiry_time": "凭证过期时间的ISO格式字符串"
    }

# 初始化可自动刷新的凭证对象
refreshable_creds = RefreshableCredentials.create_from_metadata(
    metadata=fetch_fresh_credentials(),
    refresh_using=fetch_fresh_credentials,
    method="custom-credential-provider"
)

# 注入到Boto会话中
botocore_session = get_session()
botocore_session._credentials = refreshable_creds
auto_refresh_session = boto3.Session(botocore_session=botocore_session)

# 后续用这个session创建的所有客户端，都会自动完成凭证刷新
ec2_client = auto_refresh_session.client("ec2")

避坑提醒：不要把申请到的临时AK/SK/Token直接硬编码在脚本常量、或者手动写入静态配置文件，这种静态加载的方式不会触发自动刷新逻辑，必然会出现凭证过期脚本崩溃的问题。

内容的提问来源于stack exchange，提问作者Bhaveshsharma