PHP AWS-SDK：使用带MFA的角色多次调用putObject时第二次失败排查

听起来你遇到的问题很典型——依赖MFA验证的IAM角色调用S3的putObject，第一次成功但第二次失败，大概率和STS临时凭证的生命周期、复用逻辑或者MFA token的使用规则有关。我来帮你梳理几个关键排查方向和解决方案：

1. 临时凭证的复用与过期问题 #

STS返回的临时访问凭证（AccessKeyId、SecretAccessKey、SessionToken）默认有效期是1小时（最长可配置到12小时）。如果你的脚本每次调用putObject都重新发起STS的assume_role请求，需要注意两个点：

• 第二次请求时是否使用了已经过期或重复使用的MFA token：TOTP类型的MFA token每30秒刷新一次，且每个token只能用于一次assume_role验证，重复使用会直接失败。
• 如果第一次的凭证还在有效期内，应该复用它，而不是重复调用STS获取新凭证——重复调用不仅冗余，还容易踩MFA token的坑。

2. AWS SDK的凭证缓存机制 #

如果你用的是AWS官方SDK（比如Python的boto3、Java的AWS SDK等），SDK本身会自动缓存临时凭证，并在凭证快过期时自动刷新。但如果你的脚本每次putObject都新建一个客户端实例，而不是复用同一个会话（Session），可能会导致缓存失效，被迫重新获取凭证，而第二次获取时MFA信息没有正确传递。

举个反例（Python）：

# 错误示范：每次putObject都新建客户端，且重复用同一个MFA token
import boto3

def put_object_with_new_client():
    # 每次都重新获取凭证
    sts = boto3.client('sts')
    resp = sts.assume_role(
        RoleArn='arn:aws:iam::123456789012:role/MyS3Role',
        RoleSessionName='temp-session',
        SerialNumber='arn:aws:iam::123456789012:mfa/MyIAMUser',
        TokenCode='123456'  # 第一次用有效，第二次用就失效了
    )
    s3 = boto3.client(
        's3',
        aws_access_key_id=resp['Credentials']['AccessKeyId'],
        aws_secret_access_key=resp['Credentials']['SecretAccessKey'],
        aws_session_token=resp['Credentials']['SessionToken']
    )
    return s3.put_object(Bucket='my-bucket', Key='test.txt', Body='content')

# 第一次成功
put_object_with_new_client()
# 第二次失败：MFA token已被使用
put_object_with_new_client()

正确的做法是复用同一个会话，让SDK自动管理凭证：

# 正确示范：复用会话，凭证自动缓存刷新
import boto3

# 先获取一次带MFA的角色会话
sts = boto3.client('sts')
resp = sts.assume_role(
    RoleArn='arn:aws:iam::123456789012:role/MyS3Role',
    RoleSessionName='temp-session',
    SerialNumber='arn:aws:iam::123456789012:mfa/MyIAMUser',
    TokenCode='123456'
)

# 创建复用的会话
session = boto3.Session(
    aws_access_key_id=resp['Credentials']['AccessKeyId'],
    aws_secret_access_key=resp['Credentials']['SecretAccessKey'],
    aws_session_token=resp['Credentials']['SessionToken']
)

# 复用同一个会话创建S3客户端
s3 = session.client('s3')
# 第一次成功
s3.put_object(Bucket='my-bucket', Key='file1.txt', Body='content1')
# 第二次成功：会话自动复用有效凭证
s3.put_object(Bucket='my-bucket', Key='file2.txt', Body='content2')

3. IAM角色的会话限制 #

检查你的IAM角色是否配置了会话策略或信任策略的额外限制：

• 比如角色的信任策略是否限制了RoleSessionName的重复使用？不过这种情况很少见，但可以查看角色的信任策略文档确认。
• 是否有会话标签的强制要求，第二次调用时没有传递标签导致授权失败？

4. 日志排查 #

如果以上思路都没解决问题，建议开启AWS CloudTrail日志，查看两次putObject对应的API调用记录：

• 检查第二次调用时使用的凭证是否有效（CloudTrail会记录凭证的accessKeyId，可以对应到STS的assume_role请求）。
• 查看失败请求的错误代码：比如InvalidToken说明MFA token无效，ExpiredToken说明临时凭证过期，AccessDenied则可能是角色权限或会话策略的问题。

内容的提问来源于stack exchange，提问作者Akanoa