AWS创建子网API报错：无法验证查询字符串（VpcId=vpc-1738886c）

听起来你已经排除了权限和认证代码的问题，那咱们从参数和请求细节入手排查——毕竟凭证验证失败的提示有时候会误导人，不一定真的是密钥本身出了问题：

• 先确认VpcId的传递是否严格符合API要求
  虽然你怀疑VpcId=vpc-1738886c有问题，但先检查这个参数的传递细节：如果是GET请求，要确保参数没有URL编码错误；如果是POST请求，要确认参数是放在表单数据里还是JSON payload里（EC2的CreateSubnet API通常接受表单编码的参数）。另外，参数名VpcId的大小写要严格匹配API文档，不能写成vpcId或者其他形式。

• 检查请求签名是否包含了所有参数
  AWS API的签名机制要求把所有请求参数都纳入签名计算，哪怕你觉得认证代码没问题，但如果拼接VpcId的时候没把它加入签名生成的参数列表，就会导致签名无效，触发凭证验证失败的错误。你可以核对一下签名生成时的参数集合，确保VpcId确实被包含在内了。

• 验证请求的区域与VPC所在区域一致
  VPC是区域级资源，你的API请求必须指向VPC所在的区域端点。比如如果vpc-1738886c在us-east-1，但你请求的是us-west-1的EC2端点，这时候签名计算的服务标识不对，也会抛出凭证验证失败的错误。可以先查一下这个VPC的所属区域，再确认API请求的区域配置是否匹配。

• 对比控制台请求与你的API请求细节
  你可以用浏览器开发者工具捕获AWS控制台创建子网时发送的API请求，和自己的请求做对比：看看参数是否完全一致（比如除了VpcId和CIDR，有没有遗漏AvailabilityZone这类必填参数？），请求的端点URL、HTTP方法、签名头这些有没有差异。这种对比往往能快速定位参数或格式问题。

• 启用SDK调试日志深挖细节
  如果用的是AWS SDK，可以开启调试日志查看完整请求链路。比如在Python的boto3里，你可以添加这段代码：

  import boto3
  boto3.set_stream_logger('botocore', level='DEBUG')
  

  这样能看到签名生成的过程、实际发送的参数和请求头，帮你找出哪里和预期不符。

内容的提问来源于stack exchange，提问作者RoT