遵循AWS Greengrass快速入门文档安装时出现安全令牌无效错误

凭证层面排查 #

先在执行Greengrass安装命令的终端直接运行aws sts get-caller-identity验证凭证有效性：

• 若该命令也返回同类报错，说明问题和Greengrass脚本无关，优先排查凭证配置：
  • 临时凭证必须同时配置AWS_ACCESS_KEY_ID、AWS_SECRET_ACCESS_KEY、AWS_SESSION_TOKEN三个环境变量，缺漏AWS_SESSION_TOKEN会直接触发该报错
  • 你设置的129600秒（36小时）会话时长可能超出账号限制：部分IAM策略、STS全局配置会限制最大会话时长不超过12/24小时，超过阈值生成的token默认无效
  • 若使用根账号凭证，确认根账号未开启强制MFA验证，未携带MFA参数生成的会话凭证会被判定无效
  • 确认设备系统时间和AWS服务端时间差不超过15分钟，时间偏移过大也会导致签名校验失败触发token无效报错
• 若该命令返回正常的账号信息，说明凭证本身有效，问题出在Greengrass脚本读取逻辑：
  • 安装脚本默认优先读取~/.aws/credentials文件内的凭证，优先级高于环境变量，可临时重命名~/.aws目录排除配置冲突，或在执行安装命令时显式传入凭证参数
  • 若使用sudo执行安装脚本，sudo默认会重置环境变量，你配置的AWS_*参数不会传递到root执行环境，可改用sudo -E执行命令保留当前环境变量
  • 确认配置的AWS_REGION参数和安装脚本指定的区域一致，未开通Greengrass服务的区域、跨区域调用都会触发校验失败

内容的提问来源于stack exchange，提问作者av0000