AWS CLI执行一个命令时，可能先解析凭据，再访问STS、目标服务的区域端点或S3。身份命令成功，只能证明当前凭据和某个STS路径可用；换到另一个区域、服务或对象下载时，目标域名、权限和传输量都会变化。
一、AWS CLI请求由哪些部分决定
| 因素 | 作用 | 常见误区 |
|---|---|---|
| 服务 | 决定API端点类型 | STS可用不代表S3可用 |
| 区域 | 影响区域端点 | 默认区域与资源区域不一致 |
| 凭据链 | 决定调用身份 | 把IAM错误误判为代理错误 |
| 代理与路由 | 决定网络出口 | 把所有内部端点都送到外部代理 |
| VPC Endpoint | 提供部分服务私有访问 | 假定覆盖所有AWS服务 |
二、代理变量应设置在哪里
AWS CLI运行在终端、云主机、CI Agent或容器中，常见代理变量必须进入实际进程。终端设置不等于systemd服务、计划任务或容器会继承。凭据和代理密码不要写入命令历史或公开脚本。
三、HTTP_PROXY和HTTPS_PROXY怎样理解
AWS API通常使用HTTPS，客户端可通过HTTP代理的CONNECT隧道访问。代理URL的协议描述客户端到代理的连接方式。使用SOCKS或其他方案时，需确认当前AWS CLI版本和底层SDK支持，不要凭经验替换前缀。
四、NO_PROXY为什么要关注元数据地址
在EC2等环境中，凭据链可能访问链路本地实例元数据服务。此类地址不应被发送到外部代理。还可能存在ECS任务凭据、内部STS端点或私有服务地址。绕过规则应精确，且按当前客户端对IP、端口和域名的匹配能力验证。
五、STS成功为什么S3仍失败
两者端点、区域、权限和请求大小不同。S3还涉及Bucket区域、虚拟主机风格域名、预签名URL、分片上传与重定向。应使用只读且最小权限的命令分别验证服务，不能以身份查询代替数据面测试。
S3大文件和分片问题可参考S3代理上传与预签名URL排查。
六、407、AccessDenied和签名错误如何区分
- 407：代理要求认证；
- AccessDenied：检查IAM、资源策略、组织策略和KMS权限；
- SignatureDoesNotMatch：检查时间、区域、请求改写和凭据；
- EndpointConnectionError：检查DNS、路由、代理和端点；
- 证书错误：检查CA、代理TLS检查和目标域名。
七、区域和端点为何需要记录
CLI可从参数、环境变量、配置文件和默认配置获得区域。资源在不同区域时，服务可能返回重定向或错误。诊断日志应记录服务、区域和主机，但不得公开Authorization、会话令牌、预签名URL或完整对象键。
八、VPC Endpoint如何改变路径
在VPC内配置接口端点或网关端点后，特定AWS服务可经私有网络访问，是否生效还取决于私有DNS、路由表、端点策略和安全组。不要把所有amazonaws.com域名粗暴加入NO_PROXY；应按已部署端点和目标服务验证。
九、证书与企业TLS检查
AWS CLI所在系统或容器需要信任正确CA。企业网络若进行受控TLS检查，应由管理员安全分发组织根证书，并确认策略允许相应云API。不要使用长期关闭证书验证的参数。通用流程见HTTPS代理证书排查。
十、代理凭据和AWS凭据必须隔离
代理账号用于网络访问，AWS访问密钥、角色凭据和SSO令牌用于云身份。两者应存入各自的秘密机制。不要把AWS密钥放进代理URL，也不要在调试时输出完整环境变量。临时凭据过期还可能表现为业务认证失败，与代理无关。
十一、安全验证顺序
- 记录AWS CLI版本、Profile、区域和目标服务；
- 确认凭据来源，不输出秘密；
- 检查实际进程的代理和NO_PROXY；
- 使用最小权限执行身份或只读查询；
- 区分407、IAM拒绝、签名、TLS和超时；
- 核对VPC Endpoint与公共端点路径；
- 清理调试日志和临时代理凭据。
十二、结论
AWS CLI代理排查要把网络、云身份和服务端点分开。先确定服务与区域，再验证代理、私有端点和权限，才能避免用一个STS成功结果推断整个AWS数据面都已连通。
