同时担任多个IAM角色的工作机制及ECS跨账号资源访问问题

你对ECS任务多套凭证的初始理解是正确的：ECS任务本身的任务角色凭证，和你主动调用sts:AssumeRole获取的账号B角色的临时凭证是完全独立的两套，不会互相覆盖，也不会自动合并权限。

AWS SDK 没有自动根据资源所属账号切换凭证的能力，使用哪套凭证完全由你初始化AWS服务客户端时的配置决定：

• 如果你初始化客户端时没有显式指定凭证，SDK默认会读取ECS任务元数据服务提供的原始任务角色凭证，用这个客户端发起的所有请求都会使用原始任务角色的权限，既可以访问账号A的本地资源，也可以访问其他账号提前给该任务角色开放了权限的资源。
• 如果你主动调用sts:AssumeRole拿到了账号B角色的临时凭证，需要用这套凭证单独初始化一个新的AWS客户端，这个新客户端发起的所有请求都会使用账号B角色的权限，和原始任务角色无关。
• 不存在“访问账号B资源自动用跨账号凭证、访问账号A自动用原凭证”的默认逻辑，所有凭证选择都是你在代码中显式配置的。

你提到的场景下，请求是否会失败完全取决于发起S3请求时使用的凭证：

• 如果你用原始任务角色的凭证发起S3请求：只要账号B的S3桶策略已经给该任务角色（或账号A根账号，且任务角色本身有S3操作权限）授予了对应操作的权限，请求就会成功，和你是否曾经担任过账号B的角色没有任何关系。
• 如果你用担任账号B角色后拿到的临时凭证发起S3请求：AWS只会校验这个账号B的角色是否有对应S3桶的操作权限，只要该角色没有配置S3权限，哪怕你的原始任务角色有对应权限，请求也会直接失败。

实用建议：如果需要同时使用两套权限访问不同资源，建议在代码中初始化两个独立的AWS SDK客户端，分别绑定对应凭证，避免混用导致权限异常。

内容的提问来源于stack exchange，提问作者cafekaze