如何使用STSAssumeRoleSessionCredentialsProvider替换DefaultAWSCredentialsProviderChain

核心适配逻辑 #

AWS SDK for Java以及Spring Cloud AWS生态都支持自定义全局凭证配置，你可以根据自己的使用场景选择以下两种方案实现全局替换，无需逐个改造AWS客户端实例。

方案1：Spring Boot/Spring Cloud AWS 环境全局Bean配置（适配Spring Config Server场景） #

这是当前场景最推荐的实现方式，直接注册优先级更高的AWSCredentialsProvider Bean，覆盖Spring自动装配的默认凭证链即可，所有Spring管理的AWS客户端（包括Spring Config Server内置的S3客户端）都会自动使用该凭证提供者。

import com.amazonaws.auth.AWSCredentialsProvider;
import com.amazonaws.auth.STSAssumeRoleSessionCredentialsProvider;
import com.amazonaws.services.securitytoken.AWSSecurityTokenService;
import com.amazonaws.services.securitytoken.AWSSecurityTokenServiceClientBuilder;
import org.springframework.beans.factory.annotation.Value;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.context.annotation.Primary;

@Configuration
public class AwsCredentialConfig {

    // 替换为S3所在跨账号的角色ARN
    @Value("${aws.sts.target-role-arn}")
    private String targetRoleArn;
    
    @Value("${aws.sts.session-name:config-server-s3-access}")
    private String sessionName;

    @Bean
    @Primary
    public AWSCredentialsProvider globalStsCredentialsProvider() {
        AWSSecurityTokenService stsClient = AWSSecurityTokenServiceClientBuilder.defaultClient();
        return new STSAssumeRoleSessionCredentialsProvider.Builder(targetRoleArn, sessionName)
                // 可选配置：会话有效期、外部ID、权限边界等
                .withRoleSessionDurationSeconds(3600)
                .build();
    }
}

方案2：AWS SDK 原生全局覆盖（无Spring场景也适用） #

如果需要对所有通过AWS SDK默认构造方法创建的客户端生效，可以直接修改AWS SDK的全局默认凭证链规则，在应用启动时执行一次即可：

import com.amazonaws.auth.DefaultAWSCredentialsProviderChain;
import com.amazonaws.auth.STSAssumeRoleSessionCredentialsProvider;

// 放在启动类静态代码块或者初始化钩子中执行
static {
    STSAssumeRoleSessionCredentialsProvider customStsProvider = new STSAssumeRoleSessionCredentialsProvider
            .Builder("arn:aws:iam::目标账号ID:role/跨账号访问角色名", "global-sts-session")
            .build();
    // 将自定义STS凭证提供者放到默认凭证链的最优先级
    DefaultAWSCredentialsProviderChain.setChain(
            customStsProvider,
            DefaultAWSCredentialsProviderChain.getInstance()
    );
}

必要权限校验 #

• 确保EKS Pod绑定的IRSA角色（或节点IAM角色）有sts:AssumeRole权限，允许扮演目标跨账号角色
• 目标跨账号角色的信任策略要允许你当前账号的IRSA/节点角色执行扮演操作，同时权限策略放开对应S3存储桶的访问权限
• 如果你使用的是AWS SDK v2版本，核心逻辑一致，对应凭证提供者替换为StsAssumeRoleCredentialsProvider即可

内容的提问来源于stack exchange，提问作者Digambar