如何列出AWS SSO账户关联角色并校验指定角色是否存在

你当前的分步操作逻辑核心是正确的：通过具备全量权限的角色获取临时凭证，再用凭证查询账户内的角色信息，这套流程完全符合AWS IAM的访问逻辑，手动单账户测试的时候是能跑通的。但如果要批量遍历多账户，这套手动导出环境变量、拉全量角色列表筛选的方案效率极低，也很容易因为凭证过期、手动输错参数出问题，有非常明确的优化空间。

1. 跳过手动处理临时凭证的步骤 #

完全不需要手动调用aws sts assume-role、解析返回JSON、导出环境变量，AWS CLI本身内置了角色代入的自动处理能力：

• 如果你用的是AWS CLI v2（推荐所有新用户直接用v2版本），可以直接在任意IAM相关命令中加--role-arn参数指定你要使用的CommonMemberAccess角色ARN，CLI会自动完成STS凭证申请、过期刷新的全流程，不需要你手动维护任何环境变量。
• 如果你需要频繁操作，也可以在~/.aws/config文件中提前配置SSO登录入口和角色规则，后续调用命令时只需要通过--profile指定对应配置即可，不用每次输入完整角色ARN。配置示例：

# SSO基础登录配置
[profile sso-base]
sso_start_url = 你的企业SSO登录地址
sso_region = SSO服务所在的区域
sso_account_id = 你SSO身份所属的主账户ID
sso_role_name = 你登录SSO时使用的基础角色
region = 你日常操作的默认区域

配置完成后只需要执行一次aws sso login --profile sso-base完成登录，后续所有操作都不需要重复输入身份信息。

2. 跳过全量拉取角色列表的步骤 #

不需要调用aws iam list-roles拉取账户下所有角色再手动筛选，IAM提供了直接查询单个角色是否存在的接口，响应速度更快，也不需要处理分页逻辑：

# 直接查询指定角色是否存在，存在则返回角色详情，不存在则返回NoSuchEntity错误
aws iam get-role --role-name 你要检查的目标角色名称

你只需要通过命令的返回码就能判断结果：返回码为0说明角色存在，非0说明角色不存在，完全不需要解析大段的JSON输出。

3. 批量遍历账户的实现 #

你可以直接写一个简单的Shell脚本完成批量检查，不需要逐账户手动操作。示例脚本如下，提前把你的账户列表存在accounts.txt文件中，每行格式为账户别名,账户ID即可：

#!/bin/bash
TARGET_ROLE="需要检查是否存在的目标角色名"
ACCOUNT_FILE="./accounts.txt"

echo "账户别名,账户ID,目标角色是否存在"
while IFS=',' read -r alias account_id; do
  CHECK_ROLE_ARN="arn:aws:iam::${account_id}:role/CommonMemberAccess"
  if aws iam get-role \
    --role-name "$TARGET_ROLE" \
    --role-arn "$CHECK_ROLE_ARN" \
    --role-session-name "RoleCheckSession" \
    >/dev/null 2>&1; then
    echo "${alias},${account_id},是"
  else
    echo "${alias},${account_id},否"
  fi
done < "$ACCOUNT_FILE"

等你熟悉CLI流程之后转Go SDK实现的时候，不需要自己手动写STS代角色、临时凭证存储、过期刷新的逻辑：

• 直接使用AWS官方Go SDK v2，SDK默认的凭证链已经内置了SSO登录、角色代入、凭证自动刷新的能力，你只需要在初始化IAM客户端时配置好要使用的角色ARN即可
• 同样直接调用GetRole接口判断角色是否存在，不要调用ListRoles做全量拉取，避免不必要的API调用和分页处理
• 批量检查时注意控制并发数，AWS API有默认的请求配额限制，并发过高会触发限流报错

内容的提问来源于stack exchange，提问作者Georgios F.