AWS stscreds SDK 用于刷新跨账户代入角色的凭证

Question

我已经设置了跨账户读取运动流，但是当运动客户端读取记录时我收到安全令牌过期错误。我使用 sts assume role 在 accountA 中代入 roleA，然后使用 roleA 凭据代入 roleB，最后返回 kinesis 客户端，因此没有应用刷新功能，客户端默认在 1 小时后过期。我查看了 stscreds AssumeRoleProvider 并且文档说它将刷新凭据。但我不知道如何刷新假定角色 A 的第一个凭据，然后刷新假定角色 B 的第二个凭据。还是调用重新初始化kinesis客户端的方法更好？

这是代码块。

    cfg, err := config.LoadDefaultConfig(

        context.TODO(),

        config.WithRegion("us-west-2"),

    )

    if err != nil {

        return nil, err

    }

    stsclient := sts.NewFromConfig(cfg)

    assumingcnf, err := config.LoadDefaultConfig(

        context.TODO(),

        config.WithRegion("us-west-2"),

        config.WithCredentialsProvider(aws.NewCredentialsCache(

            stscreds.NewAssumeRoleProvider(

                stsclient,

                roleToAssumeArn1,

            )),

        ),

    )

    if err != nil {

        return nil, err

    }

    stsclient = sts.NewFromConfig(assumingcnf)

    cnf, err := config.LoadDefaultConfig(

        context.TODO(),

        config.WithRegion("us-west-2"),

        config.WithCredentialsProvider(aws.NewCredentialsCache(

            stscreds.NewAssumeRoleProvider(

                stsclient,

                roleToAssumeArn2,

            )),

        ),

    )

    if err != nil {

        return nil, err

    }

    kClient := kinesis.NewFromConfig(cnf)

    return kClient

Answer 1

您应该能够使用 AWS 提供的提供商执行此操作。我假设您使用的是 aws-sdk-go-v2。这将使生成的 CredentialsProvider 返回缓存的凭据，直到它们过期；然后它会调用provider2，它用于sts2获取 的新凭据roleB，并且sts2总是首先调用provider1来获取 的新凭据roleA。func createProvider(cfg aws.Config) aws.CredentialsProvider {     sts1 := sts.NewFromConfig(cfg)     provider1 := stscreds.NewAssumeRoleProvider(sts1, "roleA")     sts2 := sts.NewFromConfig(cfg, func (o *sts.Options) { o.Credentials = provider1 })     provider2 := stscreds.NewAssumeRoleProvider(sts2, "roleB")         return aws.NewCredentialsCache(provider2) }