AWS跨分区临时凭证

亚马逊云科技（Amazon Web Services, AWS）于2026年11月9日更新其安全令牌服务（AWS STS），正式支持跨分区身份联合（Cross-Partition Identity Federation）。此前，由于AWS各分区（如商用区、GovCloud、中国区等）拥有独立的IAM系统且存在硬性隔离边界，工作负载无法直接使用AssumeRole API跨分区获取权限，企业往往被迫依赖长期有效的IAM访问密钥，增加了泄露风险与管理负担。

新机制允许工作负载在源分区通过sts:GetWebIdentityToken获取短期JSON Web Token（JWT），随后在目标分区调用sts:AssumeRoleWithWebIdentity交换临时凭证。该功能已在所有AWS商用区域、GovCloud (US)、中国区域及欧洲主权云区域上线，且不额外收费。管理员需手动启用对外身份联合并建立信任关系，同时可通过IAM策略限制来源账号、区域或组织ID，并利用AWS CloudTrail记录跨分区的令牌核发与交换活动以实现审计追踪。这一变更旨在消除对长期密钥的依赖，提升跨分区操作的安全性与合规性。