NodeJS AWS DynamoDB V3 如何自动刷新Assume Role临时权限

• 你传入credentialDefaultProvider({ assumeRole })的配置本身不会生效：assumeRole不是默认凭证提供程序的合法入参，SDK会直接忽略该字段，自然不会触发角色扮演逻辑。
• 手动调用AssumeRole拿到临时凭证后，直接把静态凭证值传给客户端是没有自动刷新能力的：STS签发的临时凭证默认有效期为1小时，过期后所有服务请求都会触发鉴权失败、超时类错误。
• 默认凭证链存在优先级拦截逻辑：默认凭证提供程序会按「环境变量→本地.aws凭证文件→实例/容器元数据服务」的顺序查找凭证，只要靠前的链路返回了有效凭证，就不会执行后续自定义的凭证加载逻辑。

不需要自己实现定时刷新逻辑，直接使用SDK官方@aws-sdk/credential-providers包内置的fromTemporaryCredentials方法即可，该方法自带凭证缓存、过期前自动续期的能力，默认会在凭证剩余有效期不足5分钟时自动调用STS接口换领新凭证，无额外接口开销。
注意不要手动提前调用STS的AssumeRole接口拿静态凭证传参，直接将凭证提供程序实例传给客户端配置即可，客户端要做成单例复用，不要每次请求新建实例。
参考代码：

const { DynamoDBClient } = require("@aws-sdk/client-dynamodb");
const { fromTemporaryCredentials } = require("@aws-sdk/credential-providers");

// 服务启动时初始化一次即可，全局复用该实例
const ddbClient = new DynamoDBClient({
  region: "替换为你的服务部署区域，例如cn-north-1",
  credentials: fromTemporaryCredentials({
    // 替换为你要扮演的目标角色ARN
    roleArn: "arn:aws-cn:iam::你的账号ID:role/你的业务角色名",
    // 自定义角色会话名，按业务规则命名即可
    roleSessionName: "dynamodb-access-session",
    // 可选：临时凭证有效期，单位秒，最短900，最长不超过角色配置的最大会话时长
    durationSeconds: 3600,
    // 可选：用于扮演目标角色的父凭证来源，不指定则自动走默认凭证链查找
    masterCredentials: fromNodeProviderChain()
  })
});

// 后续所有DynamoDB请求都复用上述ddbClient实例，凭证会自动完成刷新

• 禁止每次发起DynamoDB请求时新建客户端实例：重复初始化会导致凭证缓存失效，不仅会额外消耗STS接口调用配额，还可能出现偶发的鉴权失败问题。
• 确认父凭证权限：无论是本地配置的静态AK、还是EC2/ECS/EKS绑定的实例角色/服务账号，都需要拥有对目标角色的sts:AssumeRole权限，否则会抛出权限不足错误。
• 不要手动拼接静态凭证对象：不要自己先调sts.assumeRole()拿到AccessKeyId、SecretAccessKey、SessionToken之后拼成静态对象传给客户端，这种方式传入的是固定值，没有绑定刷新逻辑，过期必然失效。
• 短生命周期场景无需额外配置：如果是部署在Lambda等Serverless环境，单次函数执行时长远小于凭证有效期，冷启动初始化客户端拿到的凭证足够覆盖单次执行周期，不需要额外处理。

内容的提问来源于stack exchange，提问作者user7439672