本地Java环境无需临时凭证跨AWS账号访问S3方法咨询

嘿，好问题！其实AWS Java SDK完全支持像你用CLI那样，不用手动写AssumeRole代码去获取临时凭证——SDK会帮你自动处理角色切换和临时凭证的管理。下面给你几种靠谱的实现方式：

1. 直接复用AWS配置文件（最推荐，和CLI逻辑一致） #

你在CLI里用--profile developenv能访问账号222222的资源，说明你的~/.aws/config和~/.aws/credentials文件已经配置好了跨账号角色的关联（比如config里的[profile developenv]指定了role_arn和source_profile）。Java SDK可以直接读取这个配置文件的profile，自动帮你完成角色承担、临时凭证获取和过期刷新，完全不用你写手动调用AssumeRole的代码。

示例代码如下：

import software.amazon.awssdk.auth.credentials.ProfileCredentialsProvider;
import software.amazon.awssdk.regions.Region;
import software.amazon.awssdk.services.s3.S3Client;
import software.amazon.awssdk.services.s3.model.ListObjectsV2Request;
import software.amazon.awssdk.services.s3.model.ListObjectsV2Response;

public class CrossAccountS3Access {
    public static void main(String[] args) {
        // 加载你在CLI里用的那个profile
        ProfileCredentialsProvider credentialsProvider = ProfileCredentialsProvider.create("developenv");

        // 创建S3客户端，SDK会自动处理角色切换
        S3Client s3Client = S3Client.builder()
                .credentialsProvider(credentialsProvider)
                .region(Region.US_EAST_1) // 替换成你的目标桶所在区域
                .build();

        // 测试访问：列出目标桶的对象
        ListObjectsV2Response response = s3Client.listObjectsV2(
                ListObjectsV2Request.builder().bucket("your-target-bucket-name").build()
        );

        response.contents().forEach(object -> System.out.println(object.key()));
    }
}

这种方式的好处是和CLI的配置完全复用，不用额外维护代码里的凭证逻辑，SDK会自动处理临时凭证的生命周期。

2. 通过跨账号桶策略直接授权访问 #

如果你的111111账号下的IAM用户/角色已经被222222账号的S3桶授权，那你甚至不用切换角色，直接用111111账号的凭证就能访问目标桶。

具体操作是在222222账号的目标S3桶上添加桶策略，允许111111账号的身份访问：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::111111:user/your-iam-user" // 替换成你111111账号的用户或角色ARN
            },
            "Action": [
                "s3:GetObject",
                "s3:ListBucket"
                // 按需添加你需要的S3操作权限
            ],
            "Resource": [
                "arn:aws:s3:::your-target-bucket-name",
                "arn:aws:s3:::your-target-bucket-name/*"
            ]
        }
    ]
}

配置好之后，Java SDK直接用111111账号的默认凭证链（比如环境变量、凭证文件、instance profile）就能访问目标桶，代码里不需要任何特殊的角色处理：

S3Client s3Client = S3Client.builder()
        .region(Region.US_EAST_1)
        .build();
// 直接调用S3操作即可

3. 在AWS托管服务上使用实例/任务角色（如果应用运行在AWS内部） #

如果你的Java应用是运行在EC2、EKS Pod、ECS任务这些AWS托管服务上，可以给这些资源附加一个IAM角色（属于111111账号），同时让222222账号的S3桶授权这个角色访问，或者让这个角色有承担222222账号角色的权限（SDK同样会自动处理）。这种方式不需要在代码里指定任何凭证，SDK会自动从服务的元数据服务获取角色凭证。

内容的提问来源于stack exchange，提问作者lava575