如何确认Sceptre运行对应的AWS账号并防范跨账号误部署

DevOps 小满

2026-8-30

你设想的Python pre-hook方案就是这个场景下的最优解，落地简单、可靠性足够，完全没必要引入额外的复杂工具。

核心逻辑

本质就是在所有资源变更操作触发前，用当前生效的AWS凭证调用STS接口获取实际登录的账号ID，和配置中预先写死的目标环境账号ID做比对，不一致就直接抛出异常终止执行，从流程上彻底堵死凭证配错导致跨环境误操作的可能。

具体实现步骤

首先在每个环境的对应配置文件中显式定义预期账号ID，比如在config/dev/config.yaml、config/pre/config.yaml、config/pro/config.yaml中分别加入对应账号的ID，注意账号ID要加引号存为字符串，避免YAML自动解析为数字导致比对出错：

parameters:
  expected_aws_account_id: "123456789012" # 替换为对应环境的真实账号ID

编写自定义Python pre-hook，不用自己手动读取环境变量加载凭证，直接复用Sceptre运行时已经初始化好的会话对象就行，保证校验用的凭证和后续实际操作资源用的凭证完全一致，避免逻辑漏洞。示例代码可以直接参考下面的，存到项目的hooks/aws_account_check.py路径下：

from sceptre.hooks import Hook
from botocore.exceptions import ClientError

class AccountIdCheck(Hook):
    def run(self):
        expected_account = self.stack.parameters.get("expected_aws_account_id")
        if not expected_account:
            raise ValueError("当前环境未配置expected_aws_account_id参数，为避免误操作已终止执行，请先补全配置")
        
        # 复用Sceptre自身的boto会话，自动加载当前生效的所有凭证配置
        sts_client = self.stack.connection_manager._session.client("sts")
        try:
            current_account = sts_client.get_caller_identity()["Account"]
        except ClientError as e:
            raise RuntimeError(f"获取当前AWS账号身份失败，请检查凭证配置：{str(e)}")
        
        if current_account != str(expected_account):
            raise RuntimeError(
                f"账号不匹配！当前凭证对应账号为{current_account}，"
                f"目标环境预期账号为{expected_account}，已终止操作，请切换正确的AWS凭证后重试"
            )

在环境配置中把这个hook绑定到所有会修改资源的操作前置节点上，保证不管执行launch、create、update、delete哪个命令，都会先跑校验：

hooks:
  before_launch:
    - !command "python -m hooks.aws_account_check.AccountIdCheck"
  before_create:
    - !command "python -m hooks.aws_account_check.AccountIdCheck"
  before_update:
    - !command "python -m hooks.aws_account_check.AccountIdCheck"
  before_delete:
    - !command "python -m hooks.aws_account_check.AccountIdCheck"

方案说明

不需要额外安装第三方Sceptre插件，自己写的几十行逻辑完全可控，没有黑盒，出问题排查成本极低，也不会有第三方插件版本兼容的问题
注意：绝对不要通过解析本地AWS配置文件、读取环境变量中存储的账号ID的方式做校验，必须调用STS的get_caller_identity接口获取真实身份——这些静态配置可能被临时覆盖、或者存在多凭证切换的规则，只有STS接口返回的身份信息，是当前请求实际使用的身份，100%准确
不需要改动现有操作流程，工程师还是按原来的方式配置环境变量、执行sceptre命令，校验是自动触发的，不会增加额外的操作负担，也不会因为人忘了走校验步骤出问题
校验逻辑在所有资源请求发起前执行，就算凭证配错，也不会向错误账号发送任何资源操作请求，完全没有误改风险
这套逻辑同时兼容手动执行和CI/CD流水线执行场景，不需要做两套配置

内容的提问来源于stack exchange，提问作者Law29