Azure Pipelines部署Python版AWS CDK堆栈报错问题排查

• 凭证报错核心原因是错误使用sudo执行cdk命令：AWSShellScript任务默认会把AWS访问密钥、默认区域等凭证信息注入到当前流水线执行用户的上下文中，使用sudo提权后会切换到root用户环境，既无法读取当前用户的注入环境变量，也无法读取当前用户家目录下的~/.aws配置——root用户的家目录为/root，和普通执行用户的家目录路径完全不同。
• 手动创建配置文件的逻辑存在漏洞：一是用sudo写入文件时，实际写入的是root用户家目录下的.aws路径，普通用户上下文无法读取；二是sudo默认会重置环境变量，你引用的$AWS_REGION、$AWS_ACCESS_KEY_ID、$AWS_SECRET_ACCESS_KEY变量根本无法传入sudo启动的子shell，导致写入的配置值为空，最终出现CDK_DEFAULT_REGION取值为空的问题。
• 命令存在笔误：你写的--require-approval-never参数格式错误，正确写法为--require-approval never，参数和值之间是空格而非横杠，该问题也会导致部署参数异常。

优先选择方案1，无需额外配置文件，稳定性最高。

方案1：移除sudo，直接使用任务注入的凭证执行（推荐） #

AWSShellScript任务本身已经完成了当前执行用户的AWS凭证、默认区域配置，完全不需要手动创建.aws配置文件，也不需要root权限执行cdk——只要当前用户拥有cdk、python运行时及项目依赖的执行权限即可正常部署。
直接将流水线部署步骤修改为如下配置：

- task: AWSShellScript@1
  inputs:
    awsCredentials: 'Service_connection_name'
    regionName: 'eu-west-1'
    scriptType: 'inline'
    inlineScript: |
      # 可选：根据项目需要安装对应版本的cdk和python依赖
      npm install -g aws-cdk
      pip install -r requirements.txt
      # 去掉sudo，修正require-approval参数写法
      cdk deploy '*' -v --ci --require-approval never
  displayName: "Deploying CDK stacks"

方案2：特殊场景必须使用sudo的修复方式 #

如果你的流水线环境有特殊限制，必须用sudo执行cdk命令，需要同步修改三处逻辑：

1. 写入.aws配置时使用绝对路径，明确写入root用户的家目录/root下，不使用~相对路径
2. 执行sudo时添加-E参数，保留当前用户的环境变量，保证AWS_*前缀的变量可以传入root上下文
3. 修正cdk命令的参数笔误
   对应配置示例：

- task: AWSShellScript@1
  inputs:
    awsCredentials: 'Service_connection_name'
    regionName: 'eu-west-1'
    scriptType: 'inline'
    inlineScript: |
      # 创建root用户的aws配置目录
      mkdir -p /root/.aws
      # 加-E参数保留环境变量，写入配置到root家目录的绝对路径
      sudo -E bash -c 'echo -e "[default]\nregion = $AWS_REGION\noutput = json" > /root/.aws/config'
      sudo -E bash -c 'echo -e "[default]\naws_access_key_id = $AWS_ACCESS_KEY_ID\naws_secret_access_key = $AWS_SECRET_ACCESS_KEY" > /root/.aws/credentials'
      # 加-E参数执行cdk部署，修正参数格式
      sudo -E bash -c "cdk deploy '*' -v --ci --require-approval never"
  displayName: "Deploying CDK stacks"

修改配置后，可以在执行cdk deploy命令前添加两行调试命令，确认配置生效：

# 验证凭证是否正确加载，正常会返回服务连接对应的账号ID、ARN
aws sts get-caller-identity
# 验证区域变量是否正常赋值，正常输出eu-west-1
echo "CDK_DEFAULT_REGION is $CDK_DEFAULT_REGION"

内容的提问来源于stack exchange，提问作者MrKeiriko