AWS STS
AWS提供的安全令牌服务，允许AWS实体通过assume_role机制临时获取IAM角色权限，无需持有长期凭证，支持跨账户权限委托
时间轴 (近 90 天)
STS（Security Token Service）是一种按需签发临时、有限权限凭证的服务，典型代表是AWS STS，临时凭证有效期通常为15分钟到数小时。
集成通过 STS 的 AssumeRoleWithWebIdentity 接口换取有效期通常只有几十分钟的临时密钥。
v2.1.281 在 Claude apps gateway 层面新增了 Bedrock 上游的 assume_role 支持，可通过 STS 假设 IAM 角色调用 Bedrock，甚至可跨 AWS 账户操作
短生命周期凭证的典型代表包括AWS STS临时令牌和OAuth 2.0的access token，这些凭证有明确的过期时间，通常为分钟到小时级别
文章建议对生产级部署参照 AWS STS 或 HashiCorp Vault 的动态密钥模型对比评估托管与自托管方案的信任假设差异
工作流将OIDC令牌发送给AWS STS的AssumeRoleWithWebIdentity接口，AWS验证签名后将令牌声明与角色信任策略条件比对，全部满足才颁发临时凭据
全部知识事实 (6)
STS（Security Token Service）是一种按需签发临时、有限权限凭证的服务，典型代表是AWS STS，临时凭证有效期通常为15分钟到数小时。
50%待验证集成通过 STS 的 AssumeRoleWithWebIdentity 接口换取有效期通常只有几十分钟的临时密钥。
50%待验证v2.1.281 在 Claude apps gateway 层面新增了 Bedrock 上游的 assume_role 支持，可通过 STS 假设 IAM 角色调用 Bedrock，甚至可跨 AWS 账户操作
50%待验证短生命周期凭证的典型代表包括AWS STS临时令牌和OAuth 2.0的access token，这些凭证有明确的过期时间，通常为分钟到小时级别
50%待验证文章建议对生产级部署参照 AWS STS 或 HashiCorp Vault 的动态密钥模型对比评估托管与自托管方案的信任假设差异
50%待验证工作流将OIDC令牌发送给AWS STS的AssumeRoleWithWebIdentity接口，AWS验证签名后将令牌声明与角色信任策略条件比对，全部满足才颁发临时凭据
50%