Descoberta de Contexto AWS

Antes de realizar qualquer trabalho na AWS, inspecione apenas metadados mascarados da AWS CLI. Não adivinhe a região e não peça ao usuário informações que a CLI já fornece. Nunca abra ou imprima ~/.aws/credentials, saída de credential-process, variáveis de ambiente secretas, chaves de acesso, tokens de sessão ou caches de token SSO.

Quando Usar

• Estabelecer o perfil AWS efetivo, região, conta e chamador antes do trabalho na AWS.
• Diagnosticar sessões SSO expiradas, perfis ausentes ou substituições de configuração.
• Fornecer contexto verificado para habilidades posteriores de planejamento e implantação do SageMaker.

O Que Descobrir

Execute estes comandos no início do trabalho na AWS e lembre-se dos resultados para o resto da sessão.

1. Perfil Ativo

Use um perfil que o usuário nomeou explicitamente, caso contrário, use o perfil identificado por metadados mascarados da AWS CLI. Se o perfil nomeado estiver ausente de aws configure list-profiles, apresente isso claramente.

2. Região

Ordem de resolução — pare no primeiro que produzir um valor:

1. Região que o usuário nomeou explicitamente nesta conversa
2. Região reportada por aws configure list --profile "$profile"
3. Região reportada por aws configure get region --profile "$profile"
4. Pergunte ao usuário — mas somente após as quatro primeiras falharem

Não recorra a us-east-1 ou qualquer outro padrão codificado.

3. Credenciais, ID da conta, ARN do chamador

aws sts get-caller-identity --profile "$profile" --region "$region"

Três propósitos em uma única chamada: confirma que as credenciais são válidas (pare se não forem), retorna o ID da Account (necessário para construção de ARN), retorna o Arn do chamador.

4. Identificar Principais SSO / assumed-role

O campo Arn informa qual tipo de principal este é. O padrão é importante porque determina quais operações IAM o chamador pode realizar.

Se o chamador for SSO, apresente isso imediatamente antes que habilidades posteriores atinjam iam:CreateRole e falhem:

Atenção: você está autenticado via SSO (AWSReservedSSO_<PermissionSet>_...). Principais SSO geralmente não podem criar roles IAM diretamente. Se precisarmos de uma role de execução do SageMaker, procurarei primeiro por uma existente — se nenhuma existir, você precisará pedir para quem gerencia seu acesso à AWS criar uma.

Esta é a coisa de maior alavancagem que esta habilidade faz. Apresentá-la agora transforma um erro confuso no meio da implantação em uma conversa de cinco segundos.

Comandos para Executar

# Profiles and masked effective metadata; never read credential files directly
aws configure list-profiles
aws configure list --profile "$profile"
aws configure get region --profile "$profile"

# Validate credentials and get identity
aws sts get-caller-identity --profile "$profile" --region "$region"

aws configure list mascara valores de credenciais e identifica sua origem. Use esses comandos de metadados em vez de analisar arquivos AWS ou inspecionar variáveis de ambiente que contêm segredos. Se a CLI não conseguir resolver um perfil ou região sem expor credenciais, pare e peça ao usuário o valor não secreto do perfil ou região.

O Que Relatar

Uma ou duas linhas, não um texto longo:

Trabalhando com o perfil my-profile em eu-west-1, conta 123456789012. Você está autenticado via SSO, então precisaremos usar uma role IAM existente em vez de criar uma.

Não peça ao usuário para confirmar a região que você acabou de ler da configuração dele — ele a configurou; essa é a confirmação.

Se algo estiver errado (credenciais expiradas, perfil não existe, nenhuma região em lugar nenhum), pare e apresente o erro específico antes de continuar.

Limitações

• A descoberta pode revelar IDs de conta, ARNs de role ou nomes de perfil; relate apenas o que a tarefa necessita e nunca exponha segredos ou tokens de sessão.
• Verificações de identidade STS exigem acesso à rede e credenciais válidas.
• Uma identidade válida não implica permissão para alterar recursos.