aws sts get-session-token ... --token-code ... 失败并显示 InvalidClientTokenId，但 MFA 控制台登录正常

Question

我正在尝试在 AWS CLI 上检索会话令牌，如下所示：

aws sts get-session-token --serial-number arn-string --token-code mfacode

在哪里

• arn-string从 IAM 管理控制台复制，分配的 MFA 设备的安全凭证，格式如下arn:aws:iam:<number>:mfa/<name>
• mfacode取自已注册的虚拟 MFA 设备

错误：

An error occurred (InvalidClientTokenId) when calling the GetSessionToken operation: The security token included in the request is invalid.

但是，我使用该 MFA 设备在浏览器中登录控制台就可以了

我的 ~/.aws/ 中只有一个默认配置文件，但我不知道这会产生什么影响。

尝试过这个：

1. 多次尝试以确保没有发生 MFA 翻转
2. 删除 MFA 设备分配并重新分配设备 — 同样的错误
3. 省略--token-code，希望它提示我输入 MFA 设备令牌——同样的错误
4. 使用arn:aws:iam:<number>:user/<name>-- 与预期相同的错误，因为aws get-session-id help 明确指出它需要是 MFA 设备的 arn

我认为这与 arn-string 而不是令牌有关，但是什么？任何关于导致此问题的原因的想法都非常受欢迎。

问候，奥拉夫

Answer 1

解决了。maafk的评论明确了这一点。为了记录和下一个陷入这个问题的可怜灵魂：

使用的配置文件必须有该mfa_serial条目。就我而言，将mfa 设备的arn-string~/.aws/config添加到我的本地默认配置文件中，如下所示：

[default]

region = eu-central-1

mfa_serial = arn:aws:iam:<number>:mfa/<name>

该字符串可以在控制台、用户下的 IAM 服务、安全凭证中找到。