AWS CLI 中使用 credential_process 的循环调用问题解析

问题背景

在使用 AWS CLI 时，许多开发者会遇到需要通过外部进程获取凭证的情况。AWS 提供了 credential_process 配置项，允许用户指定一个外部脚本或程序来动态生成访问凭证。然而，在实际应用中，特别是在 Google Cloud Platform (GCP) 虚拟机环境中，开发者可能会遇到 CLI 进程卡死的问题。

问题现象

当开发者按照 AWS 官方文档配置 credential_process 作为默认凭证获取方式时，执行 AWS CLI 命令会出现进程挂起的情况。通过调试日志可以发现，CLI 在尝试获取元数据服务信息时失败，并显示"Max number of attempts exceeded"错误。

根本原因

深入分析后发现，问题的根源在于 credential_process 脚本中又调用了 AWS CLI 命令（如 aws sts assume-role-with-web-identity），这会导致递归调用：

1. 主进程调用 credential_process 脚本
2. 脚本内部又调用 AWS CLI
3. 新的 CLI 进程再次尝试使用 credential_process
4. 形成无限循环

解决方案

临时方案

可以通过创建一个"空"的备用配置来打破循环：

1. 在 AWS 配置文件中添加一个不做任何操作的备用配置：

[profile zero]

2. 修改 credential_process 脚本，在调用 AWS CLI 时显式指定使用这个备用配置：

aws sts assume-role-with-web-identity --profile zero

最佳实践

对于需要从外部获取凭证的场景，建议采用以下配置方式：

1. 避免在默认配置中使用 credential_process
2. 为特定用途创建专门的配置节
3. 确保凭证获取脚本不会递归调用 AWS CLI

技术原理

AWS CLI 的凭证获取遵循特定的优先级链：

1. 命令行参数
2. 环境变量
3. 配置文件中的凭证
4. 配置文件中的 credential_process
5. 其他凭证提供方式

当 credential_process 被设置为默认配置时，任何 AWS CLI 调用都会触发该进程，包括脚本内部的调用，这就导致了循环问题。

总结

在使用 AWS CLI 的 credential_process 功能时，开发者需要注意避免递归调用。通过合理规划配置结构和显式指定配置节，可以确保凭证获取流程的正常工作。对于 GCP 等云平台上的集成场景，建议参考官方文档中的配置示例，避免直接修改默认配置。