如何在AWS CodeBuild的buildspec文件中配置多个AWS named profiles？

一、在buildspec中配置多个named profiles的实现步骤 #

前置条件 #

先给CodeBuild所在账号的服务角色添加跨账号STS AssumeRole权限，同时目标部署账号的部署角色需要配置信任策略，允许CodeBuild服务角色调用sts:AssumeRole获取临时凭证。

具体配置方法 #

在buildspec的pre_build阶段通过aws configure命令直接写入命名配置到~/.aws/config文件即可，无需手动挂载凭证文件，示例buildspec片段如下：

version: 0.2
phases:
  pre_build:
    commands:
      # 配置开发环境命名配置项
      - aws configure set profile.dev.role_arn arn:aws:iam::111122223333:role/terraform-deploy-role
      - aws configure set profile.dev.source_profile default
      - aws configure set profile.dev.region us-east-1
      # 配置生产环境命名配置项
      - aws configure set profile.prod.role_arn arn:aws:iam::444455556666:role/terraform-deploy-role
      - aws configure set profile.prod.source_profile default
      - aws configure set profile.prod.region us-east-1
      # 验证配置有效性
      - aws sts get-caller-identity --profile dev
      - aws sts get-caller-identity --profile prod
  build:
    commands:
      # 部署到开发环境
      - terraform init
      - terraform apply -var "aws_profile=dev" -auto-approve
      # 部署到生产环境
      - terraform apply -var "aws_profile=prod" -auto-approve

source_profile指定为default即可直接复用CodeBuild默认自带的服务角色凭证，不需要额外配置AK/SK。

二、其他可行替代方案 #

• 动态生成临时环境变量：无需配置profile文件，在需要切换账号时直接调用sts assume-role获取临时凭证，赋值给AWS_ACCESS_KEY_ID、AWS_SECRET_ACCESS_KEY、AWS_SESSION_TOKEN三个环境变量即可，适配所有支持AWS环境变量认证的工具，切换逻辑更灵活。
• Terraform Provider内置AssumeRole：直接在Terraform代码的AWS Provider块中配置assume_role参数，把跨账号切换逻辑收敛到IaC代码中统一管理，不需要在buildspec层面做任何配置，适合部署账号固定的场景，示例配置：

  provider "aws" {
    alias  = "dev"
    region = "us-east-1"
    assume_role {
      role_arn = "arn:aws:iam::111122223333:role/terraform-deploy-role"
    }
  }
  

• AWS SSO命名配置：如果组织已经启用IAM Identity Center（SSO），可以直接在buildspec中配置SSO类型的命名profile，不需要管理长期凭证，权限管控粒度更细，安全等级更高。

注意：所有跨账号部署场景下，都需要提前配置目标角色的信任策略，避免权限不足导致部署失败。

内容的提问来源于stack exchange，提问作者Praveen sivadasan