如何使用boto3通过Assume role provider连接Amazon Keyspaces？

该报错的核心原因是默认的SigV4AuthProvider只会在初始化阶段读取一次凭证并缓存，不会跟随boto3会话的自动刷新逻辑更新凭证。当boto3自动刷新Assume Role凭证后，auth provider仍使用已过期的旧凭证（包含旧SessionId）签名请求，就会触发服务端返回SessionId mismatch错误。你通过aws config配置的assume role profile本身已经内置了凭证自动刷新能力，只是默认的auth provider没有调用该能力。

解决方案 #

1. 依赖版本要求 #

先确保安装的依赖为最新版本：

• boto3 >= 1.28.0
• cassandra-driver >= 3.25.0
• cassandra-sigv4 >= 0.1.1

2. 实现支持自动刷新的认证Provider #

自定义认证Provider，每次需要鉴权时都从boto3会话拉取最新的凭证：

from boto3 import Session
from cassandra.auth import AuthProvider
from cassandra.policies import ConstantReconnectionPolicy
from cassandra_sigv4.auth import SigV4Authenticator

class RefreshableSigV4AuthProvider(AuthProvider):
    def __init__(self, boto_session: Session, region_name: str):
        self.boto_session = boto_session
        self.region_name = region_name

    def new_authenticator(self, host):
        # 每次鉴权时拉取最新凭证，boto3会自动处理Assume Role的刷新逻辑
        credentials = self.boto_session.get_credentials().get_frozen_credentials()
        return SigV4Authenticator(
            access_key=credentials.access_key,
            secret_key=credentials.secret_key,
            session_token=credentials.token,
            region=self.region_name
        )

3. 替换原有初始化逻辑 #

# 原有会话初始化逻辑不变，继续用config中的profile
boto_session = boto3.Session(profile_name='cassandra', region_name='us-east-1')
auth_provider = RefreshableSigV4AuthProvider(boto_session, 'us-east-1') 

cluster = Cluster(
    [CASSANDRA_CLUSTER],
    ssl_context=ssl_context,
    auth_provider=auth_provider,
    port=9142,
    # 配置重连策略，凭证过期触发重连时自动拉取新凭证
    reconnection_policy = ConstantReconnectionPolicy(delay=1)
)

session = cluster.connect()

注意事项 #

• 不要手动调用sts_client.assume_role后将静态凭证传入boto3.Session，该方式传入的凭证没有刷新逻辑，到期后必然失效
• 确认你Assume的角色已配置Keyspaces对应的操作权限，且角色信任策略允许你的source_profile对应身份调用AssumeRole接口
• 不需要修改aws config文件中的原有配置，boto3会自动在凭证到期前自动刷新Assume Role凭证

内容的提问来源于stack exchange，提问作者lealvcon