AWS扩展安全令牌服务，支持跨分区临时凭证以替代长期密钥
AWS更新STS服务，允许工作负载在不同AWS分区间使用临时凭证访问资源，减少了对长期IAM密钥的依赖。
亚马逊云科技（AWS）宣布扩展其安全令牌服务（Security Token Service，STS），使工作负载能够利用现有身份在不同AWS分区（如商用分区与GovCloud美国分区）之间获取临时凭证，从而访问授权资源。这一更新旨在解决企业跨分区操作时不得不保存长期有效IAM访问密钥的问题，降低密钥泄露风险及管理负担。
AWS分区是由一个或多个云端区域组成的独立环境，各分区拥有独立的身份与访问管理（IAM）系统，原本核发的凭证无法直接跨区使用。新机制通过现有的GetWebIdentityToken与AssumeRoleWithWebIdentity API实现：工作负载先从来源分区的STS获取短效JSON Web Token（JWT），再将其送至目标分区的STS交换指定IAM角色的临时凭证。目标分区STS会验证令牌并根据信任政策决定是否核发凭证，存取范围仍受IAM权限策略限制。
该功能不会默认开启，管理员需在来源账号启用对外身份联合功能，并在目标账号建立信任关系。企业可依据来源账号、IAM身份及区域设定存取条件，并通过AWS CloudTrail记录两个分区的令牌核发及凭证交换活动。目前，新功能已在所有AWS商用区域、GovCloud（US）、中国区域及德国AWS欧洲主权云区域提供，且不额外收费。