AWS STS 终端节点仅适用于一个区域的一个子网。 STS 连接在另一个区域中不起作用

Question

我的环境都是私密的。我在 ca-central-1 中创建了一个 STS 端点。它有 2 个子网，一个用于 ca-cental-1a，另一个用于 ca-central-1b。由于某些奇怪的原因，我的两个环境都具有相同的 sts 端点设置，STS 连接仅适用于 ca-central-1a。由于我们的网络是私有的，我们已将“启用私有 dns 名称”设为 True。

我通过为 az 创建实例进行了测试，当我通过调用 aws sts get-caller-identity 进行测试时，只有 ca-central-1a 中的实例有效。 1b az aws sts 命令只是挂起。 我们检查了 NACLS，两个子网使用相同的规则。

这是配置问题还是 aws 错误？

谢谢

Answer 1

我有可能的解决方法。奇怪的是，我的所有具有相同设置和 cli 版本的实例都无法工作，直到 az zone 2 执行另一个操作，而 az1 实例不需要执行它们。

1. 将 AWS CLI 升级到 v2。新版本默认使用区域 STS 端点。

2. 将 sts_regional_endpoints = 区域添加到 AWS CLI 上的 .aws/config 文件 [A]。这会将 STS 终端节点更改为在较旧的 AWS CLI 版本上使用区域终端节点。