AWS Fargate访问Elasticsearch遇令牌过期错误，求问题排查

这个问题的核心是boto3客户端和你手动创建的AWS4Auth对象的凭证管理逻辑完全不同：

• 你通过session.client('dynamodb')创建的DynamoDB客户端，内部自带了凭证自动刷新机制——每次发起请求前，它都会检查当前凭证是否有效，一旦检测到过期就会自动从STS获取新凭证，所以不会出现权限过期问题。
• 但你手动实例化的AWS4Auth对象，是一次性把创建时的凭证（access_key、secret_key、session_token）固定下来了。之后哪怕boto3的session已经自动刷新了凭证，这个aws_auth对象里存储的还是旧的过期凭证，Elasticsearch客户端一直用旧凭证发起请求，自然会触发403的凭证过期错误。

你之前尝试每30分钟刷新凭证，但如果只是重新生成了aws_auth变量，却没有更新Elasticsearch客户端的http_auth配置，那相当于做了无用功——客户端还是在使用最初的旧Auth对象。

正确的解决方案：动态获取凭证签名 #

我们需要让Elasticsearch客户端在每次发起请求时都获取最新的有效凭证，而不是一次性用死初始凭证。可以通过自定义一个动态Auth类来实现：

from requests.auth import AuthBase
from botocore.signers import RequestSigner

class DynamicAWS4Auth(AuthBase):
    def __init__(self, boto3_session, region_name, service_name):
        self.session = boto3_session
        self.region = region_name
        self.service = service_name
        # 初始化boto3的请求签名器
        self.signer = RequestSigner(
            service_name,
            region_name,
            'requests',
            'v4',
            self.session.get_credentials(),
            self.session._session.get_component('event_emitter')
        )

    def __call__(self, request):
        # 每次请求时都主动获取最新的凭证
        latest_credentials = self.session.get_credentials()
        # 用最新凭证重新签名当前请求
        self.signer.sign(
            request,
            signing_name=self.service,
            signing_region=self.region,
            credentials=latest_credentials
        )
        return request

然后用这个动态Auth类代替原来的AWS4Auth初始化Elasticsearch客户端：

session = boto3.Session()
dynamodb_client_nvirginia = session.client(service_name='dynamodb')

# 替换静态AWS4Auth为动态Auth类
elasticsearch_client = Elasticsearch(
    hosts=[{'host': 'my-elasticsearch-host', 'port': 443}],
    http_auth=DynamicAWS4Auth(session, 'us-east-1', 'es'),
    use_ssl=True,
    verify_certs=True,
    connection_class=RequestsHttpConnection,
    timeout=30,
    max_retries=10,
    retry_on_timeout=True)

这样，每次Elasticsearch客户端发起请求时，都会自动从boto3 session获取最新的有效凭证，彻底解决凭证过期的问题。

额外提示：使用专门的ES AWS集成库 #

如果你可以引入第三方库，elasticsearch-aws（或新版的elastic-transport-python配合AWS插件）已经内置了自动凭证刷新的逻辑，使用起来会更省心，不需要自己编写自定义Auth类。

内容的提问来源于stack exchange，提问作者chicco.caste21