AWS Lightsail push-container-image报NoCredentialProviders怎么办

报错并非你当前用户下的AWS配置失效，本质是**sudo切换root执行环境的上下文隔离导致凭证丢失**：

• 普通用户环境下，你执行aws configure list能读到正常配置，是因为当前用户可以读取自身家目录~/.aws下的配置文件、识别手动设置的AWS_PROFILE环境变量
• 但sudo默认会重置执行环境，切到root上下文后，既不会读取普通用户家目录下的AWS配置，也不会继承普通用户设置的AWS_PROFILE环境变量
• 后续AWS CLI调用子进程lightsailctl时，子进程完全继承root的空凭证上下文，最终触发NoCredentialProviders报错

• 优先取消不必要的sudo执行：配置了docker用户组的Linux环境，普通用户本身就有权限操作Docker服务，不需要加sudo执行AWS CLI命令，直接在普通用户下运行原本的push命令，即可读取到当前用户的正常AWS配置，大概率能直接解决问题。
• 若必须使用sudo执行命令，需要手动传递AWS相关环境变量到root上下文，有两种常用写法：
  1. 手动指定需要传递的环境变量，避免引入多余权限问题：

     sudo AWS_PROFILE=$AWS_PROFILE aws lightsail push-container-image --region us-east-1 --service-name <my service> \
      --label <my label> --image <my docker image>
     

  2. 加-E参数保留当前用户的全部环境变量，适合排查场景使用：

     sudo -E aws lightsail push-container-image --region us-east-1 --service-name <my service> \
      --label <my label> --image <my docker image>
     

• 排查组件版本兼容问题：你当前使用的lightsailctl 1.0.0是早期初代版本，和你安装的aws-cli 2.1.31存在兼容断层，早期版本的lightsailctl不会自动适配AWS CLI 2.x传入的凭证上下文，即便环境变量传递正常也可能读不到有效凭证，升级到和当前AWS CLI版本匹配的稳定版后再重试即可。
• 兜底排查方案：
  • 如果通过环境变量传递还是报凭证错误，可以直接切到root用户上下文，在root的shell下单独执行aws configure录入对应profile的访问密钥，让root自身的执行上下文拥有完整的AWS配置后再执行push命令。
  • 执行命令前可以打开详细凭证日志，定位具体的凭证读取卡点：

    export aws_sdk_go_verbose_credential_errors=true
    

内容的提问来源于stack exchange，提问作者spitfiredd