可以将AWS CLI与凭据文件一起使用，但不能与环境变量一起使用

Question

我通常在设置配置文件后使用AWS CLI命令，使用环境变量AWS\u profile，使用~/。aws/凭证文件。这很有效。

我目前正在尝试通过环境变量设置访问权限。为此，我在中设置这些变量。bash_profile文件-我从凭证文件中复制了aws_access_key_id和aws_secret_access_key条目，并将它们放在我的bash_profile文件中，名称为aws_access_key_id和aws_secret_access_key。

环境变量正在被正确设置，然而，当我试图访问AWS资源时（在这种情况下，我试图在桶上运行一个lsS3命令，所以区域并不重要），我得到了消息

An error occurred (InvalidAccessKeyId) when calling the ListObjectsV2 operation: The AWS Access Key Id you provided does not exist in our records

这对我来说很奇怪，因为钥匙是完全一样的。为了确认这一点，我切换到我的凭据配置文件与AWS_PROFILE环境变量，然后命令正常工作。

我怀疑，不知何故，我设置了错误的环境变量，或者类似的东西。然后，我阅读了这篇AWS指南，并运行命令aws配置列表，在第一种情况下（仅有环境变量的情况），返回

      Name                    Value             Type    Location
      ----                    -----             ----    --------
   profile                <not set>             None    None
access_key     ****************AAAA              env
secret_key     ****************AAAA              env
    region                us-east-1              env    ['AWS_REGION', 'AWS_DEFAULT_REGION']

对于第二种情况（配置文件集），它返回

     Name                    Value             Type    Location
      ----                    -----             ----    --------
   profile              dev-staging           manual    --profile
access_key     ****************AAAA shared-credentials-file
secret_key     ****************AAAA shared-credentials-file
    region                us-east-1              env    ['AWS_REGION', 'AWS_DEFAULT_REGION']

换句话说，环境变量的设置是正确的，AWS CLI会确认它们，它们的值与通过凭据文件设置时的值相同，但是，由于某些原因，它不能以这种方式工作。

我认为这可能是因为aws_会话_令牌，我也尝试将其设置为环境变量，但没有成功。

我需要以这种方式访问AWS资源来模拟我的代码将在其中运行的环境，我不明白为什么这不会按照我想要的方式工作。

如果您有任何关于如何解决此问题的想法，我们将不胜感激。

Answer 1

如果有人偶然发现了这一点，一个可能的罪魁祸首可能是AWS_SESSION_TOKEN和AWS_SECURITY_TOKEN环境变量。

如果您之前使用了不同的AWS\u ACCESS\u KEY\u ID，AWS\u SECRET\u ACCESS\u KEY环境变量，并且直接或间接运行了AWS CLI命令，则在首次身份验证后，将设置上述两个令牌变量。在我们用新值覆盖现有的AWS\u ACCESS\u KEY\u ID，AWS\u SECRET\u ACCESS\u KEY之后，较旧的令牌变量仍然保持原样，AWS CLI没有明确检查访问/密钥是否已更新，它继续使用较旧的令牌，导致在内部使用较旧的密钥，并将继续这样做，直到令牌过期。aws configure将继续显示新的访问密钥，但在内部，由于缓存的令牌，它将使用旧的访问密钥。

因此，如果您想在这些场景中继续使用环境变量，您需要取消两个包含令牌的环境变量，在您的情况下，还需要在设置新的访问/秘密后为两个令牌变量添加一个取消命令环境变量中的键。

unset AWS_SESSION_TOKEN
unset AWS_SECURITY_TOKEN

这种行为是人们更喜欢使用不同配置文件的原因之一，要么使用aws配置，要么编辑~/. aws/*文件，并在命令中使用--file显式指定它们，而不是使用环境变量。

按照AWS cli配置优先顺序，使用~/。aws/config文件位于aws CLI获取要使用的身份验证的优先顺序的顶部，因此它会覆盖令牌环境变量并在您的情况下工作。

Answer 2

你需要编辑你的~/。当您希望引用环境变量中的凭据而不是凭据文件时，请使用aws/config文件。

对于凭证文件中的AWS访问密钥，您必须将配置文件设置为，否则任何配置文件都没有此类source\u配置文件config：

[default]
source_profile = default

但是，如果要使用环境变量或bash_配置文件中设置的凭据，请将此设置更改/添加到配置文件中的每个配置文件：

[default]
credential_source = Environment

有了这个更改，它也应该与您的环境变量一起工作。

如果您在~/中有多个配置文件。aws/config文件，只需替换/添加源文件=