AWS 上下文发现

问题从哪来

在 AWS 上改资源、查状态或跑部署脚本时，助手若默认 us-east-1、猜 profile，或在 SSO 会话里尝试 iam:CreateRole，往往在半路才报错。区域和账户不一致会改错环境；凭据过期则整条链路白跑；SSO 主体又常不能直接写 IAM，错误信息却像「权限不足」一样模糊。

技能如何工作

本技能要求：任何 AWS 工作之前先读本地配置，并在会话内记住结果，而不是反复问用户「区域是多少」。

核心步骤：

• 活跃配置：优先 AWS_PROFILE，否则 default；用户点名 profile 时以对话为准，若 ~/.aws/config 中不存在则明确报错。
• 区域：按固定顺序解析——对话中明确区域 → AWS_REGION → AWS_DEFAULT_REGION → 当前 profile 的 region；四项皆无才询问用户，禁止硬编码回退到 us-east-1。
• 凭据与身份：通过一次 STS 类调用确认凭据有效，拿到 Account ID 与调用者 ARN；无效则停止。
• SSO 识别：若 ARN 形如 arn:aws:sts:::assumed-role/AWSReservedSSO_/...，在后续需要创建 IAM 角色之前就提醒：应复用现有角色或请管理员创建，而不是等到 CreateRole 失败。

实现上优先用 aws configure list 看环境变量与解析后的有效值；需要读原始文件时，~/.aws/config 与 ~/.aws/credentials 按 INI 只读即可。

汇报保持一两行，例如：正在使用的 profile、区域、账户，以及是否为 SSO。

适用边界

• 依赖本机已安装的 AWS CLI 与可读的 ~/.aws 配置；无法替代云端控制台里的组织级策略说明。
• 只解决「当前 shell/会话里实际生效的配置与身份」；多账户、多 region 并行时仍需用户在对话里指明目标。
• SSO 提醒是权限模型层面的预判，具体能否创建某资源仍以 API 返回为准。