使用Python连接AWS Athena时规避OKTA身份验证的方法问询

你观察到的Google Suite API无需手动验证的核心原因是对接时使用的是Google服务账号的长期凭证，这类凭证属于非用户交互式的服务级凭证，默认不需要走Okta的用户MFA校验流程，而你当前对接AWS Athena用的是个人用户身份的SSO流程，所以每次令牌过期都会触发交互式MFA验证。

以下是3种可行的落地方案：

• 方案1（企业级生产环境最推荐）：配置Okta服务账号豁免MFA
  联系公司的Okta和AWS管理员，在Okta后台创建专属的自动化服务账号，为该账号配置MFA豁免策略，仅开放Athena访问所需的最小权限。将该服务账号同步到AWS IAM身份中心后，在Python脚本中使用boto3调用AWS SSO接口获取临时凭证，最长可配置有效期为1年的刷新令牌，到期仅需更新一次配置，无需每次运行脚本手动验证。
• 方案2（无管理员权限时可选）：通过Okta SDK自动完成MFA校验
  申请Okta账号的API访问权限，同时申请将你的账号MFA策略调整为支持可编程TOTP校验，不要仅限制为Okta Verify推送。在Python脚本中集成okta-sdk-python，将TOTP密钥加密存储在配置中，每次令牌过期时自动调用Okta API完成MFA校验，直接生成AWS STS临时凭证，全程无人工操作。
• 方案3（临时测试过渡方案）：本地缓存SSO凭证
  提前在本地运行aws configure sso命令，手动完成一次Okta验证，生成的SSO刷新凭证会自动缓存到~/.aws/sso/cache目录下。boto3调用Athena接口时会自动读取缓存凭证完成续期，在刷新令牌有效期内无需重复验证，该方案无需调整企业配置，仅适合测试场景使用。

注意：所有敏感凭证禁止硬编码在脚本中，建议使用系统密钥链或企业密钥管理服务加密存储，避免凭证泄露造成安全风险。

内容的提问来源于stack exchange，提问作者akilesh23