如何使用 AWS CLI：安装、配置与命令

安装 AWS CLI

我们将分别讲解在 Windows、Mac 和 Linux 上安装 AWS CLI。

AWS CLI 主要有 1 和 2 两个大版本。我们只讨论功能更完善的 2 版。有关安装或升级至 AWS CLI 最新版本的最新信息，请访问 AWS 文档。

在 Windows 上安装

从 官方 AWS 网站 下载安装程序。打开 “AWSCLIV2” Windows 安装包，您将看到如下窗口。

AWS CLI 安装向导。

选择“Next”，并同意许可协议。

AWS CLI 许可协议。

确认安装位置并继续安装。安装过程通常不超过 5 分钟。

确认安装位置。

正在安装。

安装完成。

要验证安装是否成功，打开终端并运行 aws --version 命令。其输出应类似于下图所示。

在 Windows 上验证 AWS CLI 安装。

在 macOS 上安装

我们可以通过 Homebrew 或安装包在 macOS 上安装 AWS CLI。下面将介绍两种方式。

安装包方式

从官方 AWS 网站下载 .pkg 安装程序。打开 AWSCLIV2.pkg 文件，您将看到如下窗口。

AWS CLI 安装。

接受许可，确认安装位置，然后继续安装。

安装成功提示。

要验证安装是否成功，打开终端并运行 aws --version 命令。其输出应类似于下图所示。

在 macOS 上验证 AWS CLI 安装。

Homebrew

请确保本地已安装 Homebrew。要验证，请运行 brew --version。否则，您可以参考 Homebrew 官方页面获取安装说明。

然后执行以下命令安装 CLI：

# With brew installed, update Homebrew's formulae and cask definitions
brew update

# Install AWS CLI
brew install awscli

# Verify the installation
aws --version技术支持

brew update 与安装

验证 brew 安装。

在 Linux 上安装

为了演示在 Linux 上的安装，我启动了一台使用 ami-0bd55ebedabddc3c0 AMI 的 Amazon Linux EC2。尽管其默认已安装 AWS CLI 2 版，但并非最新的小版本。更新与安装步骤大同小异。

# Switch to superuser
sudo su -
# If you’re on Amazon Linux, to install the latest version of the AWS CLI, you must first uninstall the pre-installed yum version
yum remove awscli

# Download the AWS CLI zip file
curl "https://awscli.amazonaws.com/awscli-exe-linux-x86_64.zip" -o "awscliv2.zip"

# Unzip the file
unzip awscliv2.zip

# Run the installer
./aws/install

# Verify AWS CLI 
aws --version技术支持

下载并解压安装包。

运行安装程序并验证安装。

配置 AWS CLI

安装 AWS CLI 后，在使用其与我们的 AWS 资源交互前，需要先进行配置。配置内容包括设置 AWS 凭证以及一些可选的默认设置。

当我们登录 AWS 控制台时，要么作为用户登录，要么扮演某个角色。同样地，使用 AWS CLI 与资源交互时，也必须以用户身份或通过扮演角色进行。

设置 AWS 凭证

登录 AWS 控制台有两种方式。第一种是使用通过身份与访问管理（IAM）服务创建的用户。

IAM 用户登录页面。

第二种是使用通过 IAM 身份中心（IAM Identity Center）创建的用户。

AWS Access Portal 登录页面。

设置 AWS CLI 需要在本地配置 aws_access_key_id 和 aws_secret_access_key。这对密钥标识您的账户并授予对 AWS 的访问权限。获取方式会因您采用的登录方式略有不同。

IAM 用户

若要以 IAM 用户身份使用 AWS CLI，请通过 AWS 控制台进入 IAM 服务，选择一个现有用户或新建用户。这里我将使用一个现有用户。

IAM 用户。

选择该用户并前往“Security Credentials”选项卡。向下滚动查看“Access keys”。在本教程中，我将创建另一组访问密钥。选择“Create access key”。

IAM 用户的安全凭证选项卡。

选择“Command Line Interface (CLI)”。

创建访问密钥。

确认并创建。

访问密钥已创建。

下载 .csv 文件以妥善保管。然后在本地运行 aws configure 命令，并输入访问密钥与私密访问密钥的值。由于未通过 --profile 标志指定配置文件，我们正在将这组凭证写入“default”配置文件。我们将在后文章节讨论配置文件。

AWS configure 命令。

在您的主目录（~）下会创建一个名为“.aws”的隐藏文件夹。

.aws 文件夹。

其中包含两个文件，config 和 credentials。

.aws 文件夹内容。

config 文件存储您上面输入的默认区域与输出选项。而 credentials 文件存储 aws_access_key_id 与 aws_secret_access_key。要查看其内容，可以运行 cat config 和 cat credentials 命令。

运行 aws sts get-caller-identity 命令以验证凭证是否生效，并返回正确的 IAM 身份。

验证凭证。

IAM 身份中心用户

登录后，您将被引导至 AWS Access Portal，以便在登录控制台时选择要扮演的 AWS 账户与角色。选择您希望用于 AWS CLI 的账户与角色的“Access keys”。

AWS Access Portal。

将出现与下图相同的窗口。选择选项 2，复制并将提供的文本粘贴到您的 AWS 凭证文件中。

来自 AWS Access Portal 的凭证。

请注意，与上一节介绍的 IAM 用户凭证相比，除了 aws_access_key_id 与 aws_secret_access_key 外，还多了一个 aws_session_token。这为通过 IAM 身份中心创建的用户凭证增加了一层安全性，因为会话令牌会过期，用户需重新认证以刷新令牌。

将选项 2 的文本粘贴进您的 AWS 凭证文件后：

# Use the AWS profile that you have just added
export AWS_PROFILE=<<Account Number>_<Role Name>>

# Valid that the credentials work
aws sts get-caller-identity技术支持

验证凭证。

会话令牌最终会过期，我们需要重新生成。

令牌已过期。

我们无需像上面那样再次从 Access Portal 复制，改为在本地运行 aws sso login。按照下列命令在本地配置单点登录（SSO）设置。

# Configure SSO to refresh your session token. The ~/.aws/sso folder will be created.
aws configure sso技术支持

AWS configure SSO 命令。

系统会提示您登录。

授予 AWS CLI 访问权限。

已批准 AWS CLI 请求。

当您的会话令牌再次过期时，只需运行 aws sso login 即可。

AWS SSO 登录输出。

配置选项

我们可以按偏好自定义若干默认配置。如果命令中未显式指定，将采用这些默认配置。

要在 config 文件中更新或新增配置项，您可以运行下方命令，或通过 vim、nano 手动修改。

aws configure set <setting> <value>技术支持

region

位于某个区域内的 AWS 资源，在执行 AWS CLI 命令时需要指定 region。

如果命令中未使用“--region <region name>”标志，则会使用 config 文件中的默认区域。若未定义默认区域，您将遇到以下错误。

未指定区域时的错误。

output

output 设置用于配置 AWS CLI 命令返回的输出格式。

例如，我们上面配置的默认输出格式为“JSON”，aws sts get-caller-identity 命令因此返回 JSON 格式的输出。其他可选项包括“table”和“text”。

如下是表格（table）输出示例。我添加了 --output table 标志以覆盖默认的“JSON”输出。

aws sts get-caller-identity --output table。

role_arn 与 source_profile

如果您不想直接使用 IAM 用户，而是希望其改为扮演某个角色，请指定 role_arn 与 source_profile 配置。

aws configure set role_arn arn:aws:iam::<Account ID>:role/<Role name>

# Put “default” as the profile name if you do not know what to put
aws configure set source_profile <profile name>技术支持

指定后，验证是否确实已扮演该 IAM 角色。

验证凭证。

cli_pager

默认情况下，AWS CLI 会通过 less 等分页器输出结果，需要按 q 退出。我们可以禁用分页器，使输出直接显示在终端中：

aws configure set cli_pager ""技术支持

禁用 cli_pager 后的输出。

cli_history

要记录已执行的 AWS CLI 命令，请启用 cli_history：

aws configure set cli_history enabled技术支持

历史记录将保存在位于 ~/.aws/cli/history 的 SQLite 数据库中。

# View your AWS CLI history
aws history list

# Show details of a specific command
aws history show <command-id>技术支持

配置摘要

标准配置选项摘要：

如果您按照上述示例操作，您的 ~/.aws/config 文件应类似如下。

config 文件内容。

理解 AWS CLI 命令

所有 AWS CLI 命令都有一个标准格式：

AWS CLI 命令格式——作者制图。

各服务特定的操作会包含可选或必需的选项/标志。

基础命令

现在我们的 AWS CLI 已能以编程方式访问 AWS 账户并与服务交互。让我们在一些常用服务上尝试基础命令！

EC2

描述所有实例的输出。

更多信息请参阅 EC2 官方文档。

S3

S3 命令。

更多信息请参阅 S3 官方文档。

请注意，对于 AWS S3 服务，除了上文提到的 aws s3 命令外，还有 aws s3api 命令。aws s3 命令较为通用，而 aws s3api 命令更细粒度、偏底层。

更多信息请参阅 s3api 官方文档。

Lambda

返回关于该函数的信息。

更多信息请参阅 Lambda 官方文档。

示例：使用 AWS CLI 管理 EC2

欢迎查看 AWS EC2 入门教程 博文温习 EC2 基础！这将有助于您更好地理解以下命令。

# To create an EC2 instance
aws ec2 run-instances \
    --image-id ami-0bd55ebedabddc3c0 \
    --count 1 \
    --instance-type t2.micro技术支持

创建实例的输出。

运行 aws ec2 describe-instances 查看所有 EC2 实例的详细信息，如基础命令中所述。

若要查询特定实例，请添加带实例 ID 的 --instance-ids 标志。例如：aws ec2 describe-instances --instance-ids i-00836ea7575852f10。

描述某个实例的输出。

# To stop the instance
aws ec2 stop-instances --instance-ids i-00836ea7575852f10技术支持

停止实例的输出。

# To start the instance
aws ec2 start-instances --instance-ids i-00836ea7575852f10技术支持

启动实例的输出。

# To terminate the instance
aws ec2 terminate-instances --instance-ids i-00836ea7575852f10技术支持

终止实例的输出。

示例：操作 S3 存储桶

以下是一些用于在 AWS 基础服务之一的 S3 上执行常见操作的实用命令！

# To create an S3 bucket. “mb” is short for “make bucket”
aws s3 mb s3://<bucket name> --region <region name>

# To list out all buckets
aws s3 ls

# To copy an object from your local or S3 object to another location locally or in S3. In the screenshot below, I used aws s3 cp <LocalPath> <S3Uri>
aws s3 cp <LocalPath> <S3Uri> or <S3Uri> <LocalPath> or <S3Uri> <S3Uri>

# To delete an object from the S3 bucket
aws s3 rm <S3Uri>

# To sync the source directory to the destination. In the screenshot below, I used aws s3 sync <LocalPath> <S3Uri>
aws s3 sync <LocalPath> <S3Uri> or <S3Uri> <LocalPath> or <S3Uri> <S3Uri>

# To list the objects in the bucket
aws s3 ls <S3Uri>

# To delete an S3 bucket, it has to be empty of objects and versioned objects before it can be deleted. “rb” is short for “remove bucket”
aws s3 rb s3://my-unique-bucket-name-gfht68

# The “aws s3 rb” command comes with the --force parameter to first remove all of the objects in the bucket and then remove the bucket itself.
aws s3 rb s3://mybucket --force技术支持

AWS S3 命令输出。

高级 AWS CLI 功能

在练习了基础 CLI 命令后，我们可以继续了解一些更高级的界面特性与用例。

使用 AWS CLI 实现任务自动化

到目前为止，我们的 AWS CLI 示例多为单条命令获取信息或对服务执行操作。下面看看如何将多条 CLI 命令组成脚本来实现自动化任务。

示例：自动化 EC2 实例启动脚本

创建一个 launch_ec2.sh 文件，并写入如下内容。

#!/bin/bash

# Set variables
INSTANCE_NAME="My_Demo_Instance"
AMI_ID="ami-0bd55ebedabddc3c0" # Replace with your preferred AMI ID
INSTANCE_TYPE="t2.micro"       # Replace with the desired instance type
REGION="ap-southeast-1"

# Launch the EC2 instance
INSTANCE_ID=$(aws ec2 run-instances \
  --image-id "$AMI_ID" \
  --instance-type "$INSTANCE_TYPE" \
  --region "$REGION" \
  --query "Instances[0].InstanceId" \
  --output text)

echo "Instance launched with ID: $INSTANCE_ID"

# Add a Name tag to the instance
aws ec2 create-tags \
  --resources "$INSTANCE_ID" \
  --tags Key=Name,Value="$INSTANCE_NAME" \
  --region "$REGION"

echo "Tag added: Name=$INSTANCE_NAME"

# Wait for the instance to reach a running state
aws ec2 wait instance-running --instance-ids "$INSTANCE_ID" --region "$REGION"
echo "Instance is now running."技术支持

您可以自定义脚本以包含更多参数，如密钥名称（--key-name）、安全组 ID（--security-group-ids）、子网 ID（--subnet-id）等。

# Grant the user permission to execute the shell script
chmod u+x ./launch_ec2.sh

# Run the script
./launch_ec2.sh技术支持

启动 EC2 脚本。

示例：自动停止所有正在运行的 EC2 实例

创建一个 stop_ec2.sh 文件，并写入如下内容：

#!/bin/bash

# Check if a region is provided as an argument
if [ -n "$1" ]; then
  REGION="$1"
else
  # Get the default region from AWS CLI configuration
  REGION=$(aws configure get region)

  if [ -z "$REGION" ]; then
    echo "No region provided, and no default region found in AWS CLI configuration."
    echo "Please provide a region as an argument: ./stop-all-ec2.sh <region>"
    exit 1
  fi
fi

echo "Using region: $REGION"

# Get a list of all running EC2 instance IDs
RUNNING_INSTANCES=$(aws ec2 describe-instances \
  --filters Name=instance-state-name,Values=running \
  --query "Reservations[*].Instances[*].InstanceId" \
  --output text \
  --region "$REGION")

if [ -z "$RUNNING_INSTANCES" ]; then
  echo "No running EC2 instances found in region $REGION."
else
  echo "Stopping the following EC2 instances in region $REGION:"
  echo "$RUNNING_INSTANCES"
  echo "Give it around 1 minute for the instances to be stopped."
  
  # Stop the instances
  aws ec2 stop-instances --instance-ids $RUNNING_INSTANCES --region "$REGION"
  
  # Wait for the instances to stop
  aws ec2 wait instance-stopped --instance-ids $RUNNING_INSTANCES --region "$REGION"
  
  echo "All instances have been stopped successfully."
fi技术支持

# Grant the user permission to execute the shell script
chmod u+x ./stop_all_ec2.sh

# Run the script with the default region
./stop_all_ec2.sh

# Run the script overwriting the default region
./stop_all_ec2.sh us-west-1技术支持

停止 EC2 脚本。

将 AWS CLI 与 JSON 和 JQ 搭配使用

AWS CLI 命令的输出信息量较大。在某些情况下，我们并不需要全部信息，只需其中的一个子集。

例如，在上文“基础命令”的“EC2”部分中，我们看到 aws ec2 describe-instances 命令会返回很长的 JSON 输出。为了解析该输出并仅获取所需内容，我们可以使用 --query 标志或 jq 命令。

有关 --query 标志的示例，请参阅上文“使用 AWS CLI 实现任务自动化”部分中的自动化脚本。

请注意，jq 只适用于 JSON 输出。因此，请将默认输出配置为“JSON”，或为每条命令传递 --output json 标志。

验证是否已安装 jq：

查看 jq 版本。

# Get a list of all EC2 instances and filter only the instance ID and state
aws ec2 describe-instances | jq '.Reservations[].Instances[] | {InstanceId: .InstanceId, State: .State.Name}'

# Count the number of EC2 instances in the "running" state.
aws ec2 describe-instances --output json | jq '[.Reservations[].Instances[] | select(.State.Name == "running")] | length'

# Extract Lambda Function Names and their runtimes
aws lambda list-functions --output json | jq '.Functions[] | {FunctionName: .FunctionName, Runtime: .Runtime}'技术支持

结合 jq 的 AWS CLI 命令。

在 CI/CD 流水线中使用 AWS CLI

我们可以在流水线配置中使用 AWS CLI，以在 CI/CD 流水线运行时自动与 AWS 服务交互，例如部署与更新 AWS 资源。

下例中，我将使用 GitLab 流水线演示部署 Lambda 函数。

# .gitlab-ci.yml file configuration
stages:
  - demo-cicd

datacamp_job:
  image: registry.gitlab.com/gitlab-org/cloud-deploy/aws-base:latest
  stage: demo-cicd
  id_tokens:
    GITLAB_OIDC_TOKEN:
      aud: https://gitlab.com
  variables:
    ROLE_ARN: "arn:aws:iam::<AWS Account ID>:role/<Name of IAM Role that pipeline will use>"
    AWS_DEFAULT_REGION: "ap-southeast-1"
  script:
    - aws --version
    - >
      export $(printf "AWS_ACCESS_KEY_ID=%s AWS_SECRET_ACCESS_KEY=%s AWS_SESSION_TOKEN=%s"
      $(aws sts assume-role-with-web-identity
      --role-arn ${ROLE_ARN}
      --role-session-name "GitLabRunner-${CI_PROJECT_ID}-${CI_PIPELINE_ID}"
      --web-identity-token ${GITLAB_OIDC_TOKEN}
      --duration-seconds 3600
      --query 'Credentials.[AccessKeyId,SecretAccessKey,SessionToken]'
      --output text))

    - aws sts get-caller-identity
    - ls -l
    - aws lambda create-function --function-name <function name> --runtime python3.13 --role <ARN of IAM role that Lambda function will use> --handler index.lambda_handler --zip-file fileb://lambda.zip

    - unset AWS_ACCESS_KEY_ID AWS_SECRET_ACCESS_KEY AWS_SESSION_TOKEN技术支持

GitLab 流水线作业日志。

您可以修改流水线配置，将与 AWS CLI 命令相关的参数以变量形式传入流水线作业，而非像上图那样硬编码。

这样，每当您需要创建 Lambda 函数时，只需在 Git 仓库中与流水线配置一同提交这些变量即可。

使用 AWS CLI 的最佳实践

与所有最佳实践一致，无论使用用户还是角色，都仅授予完成任务所需的最小权限。

让我们看看 AWS CLI 的其他特定最佳实践！

使用 AWS IAM 角色以提升安全性

AWS IAM 角色为访问 AWS 资源提供临时安全凭证。这些凭证会自动轮换，并受限于特定角色的权限范围，降低与长期访问密钥相关的风险。

推荐的用法是通过 IAM 身份中心创建的角色使用，如上文“设置 AWS 凭证”的“IAM 身份中心”部分所示。这也是 AWS 推荐的方式。

AWS 的推荐方法。图片来源：AWS。

当云管理员通过 IAM 身份中心创建您的用户时，必须为其分配一个权限集（permission set）。

IAM 身份中心中的用户。

对于每个权限集，AWS 都会创建一个 IAM 角色。

IAM 身份中心中的权限集。

管理多个配置文件

在工作中，您很可能需要管理不止一个 AWS 账户。我们通过配置文件（profiles）在 ~/.aws/credentials 与 ~/.aws/config 文件中配置多套凭证。

在上文“设置 AWS 凭证”一节中，我们运行 aws configure 命令时未通过 --profile 标志或 AWS_PROFILE 环境变量指定配置文件，因此凭证与配置信息被添加至默认配置文件。要新增一个配置文件，可运行 aws configure --profile <profile name>，在新配置文件下保存独立的一套凭证。

# Create a new profile called “dev”
aws configure --profile dev

# To run AWS CLI commands using the dev profile instead of the default profile, set the AWS_PROFILE environment variable to “dev”. Alternatively, add the “--profile dev” for every AWS CLI command.
export AWS_PROFILE=dev

# Validate that the IAM identity under the new profile is returned
aws sts get-caller-identity技术支持

新配置文件下的新凭证。

保持 AWS CLI 为最新

及时更新 AWS CLI 很重要，这样才能高效地与 AWS 服务交互，并利用最新功能与改进。

如果您在 Windows 和 Mac 上通过安装包安装了 AWS CLI，需要下载文件到本地并运行。升级步骤相同：下载并运行最新安装包。

如果您在 Mac 上通过 brew 安装了 AWS CLI，更新只需运行 brew upgrade awscli。我这里已安装最新版本。

brew upgrade awscli 命令输出。

对于 Linux，步骤与安装相同。请参阅“在 Linux 上安装”部分中的代码片段，按步骤下载 zip 文件、解压并运行安装程序。

日志与故障排查

AWS CLI 是一款出色的工具，但在使用过程中也可能遇到挑战。让我们一起看看如何应对。

CLI 历史日志

有时我们可能会忘记之前运行过的命令及其参数，或想查看某条命令的输出。启用 cli_history 可以解决这些顾虑。更多信息请参阅上文“配置选项”部分。

CLI 配置错误

当您遇到 AWS CLI 配置错误时，运行 aws configure 命令有助于判断 CLI 是否正确读取了凭证与配置文件中的信息。

“Unable to parse config file” 错误。

# View configuration for the existing profile
aws configure list

# Verify credentials
aws sts get-caller-identity

# Verify configuration values
aws configure get region
aws configure get role_arn

# Review Environment Variables. Variables like AWS_PROFILE, AWS_ACCESS_KEY_ID, and AWS_REGION can override configuration
env | grep AWS技术支持

其他错误

在少数情况下，我们可能在执行 AWS CLI 命令时遇到未知错误。为调试 API 调用问题或收集更多信息以理解错误，添加 --debug 标志可能会有所帮助。

# Add the “--debug” flag
aws ec2 describe-instances --debug技术支持

带有 debug 标志的 AWS CLI 命令。

这些附加信息应能帮助您理解并排查问题。

结论

AWS CLI 是一款强大的工具，可帮助您高效地与 AWS 服务交互、自动化日常任务，并轻松管理云资源。在本教程中，我带您完成了 AWS CLI 的安装、配置与使用，执行了多个常见 AWS 服务中的关键操作。

无论您是云计算初学者还是资深 DevOps 工程师，掌握 AWS CLI 都能显著提升生产力。从创建与管理资源到自动化部署，将 AWS CLI 纳入您的工具箱后，几乎有无限可能。

请花时间尝试这些命令，在流水线中探索更高级的脚本能力，并将 AWS CLI 融入您的日常工作。祝您云上畅行！

我建议您在 DataCamp 上查看 AWS Cloud Practitioner 技能路径，成为 AWS 专家。