awsgetsts 0.1.0__tar.gz

awsgetsts-0.1.0/LICENSE

@@ -0,0 +1,21 @@
+MIT License
+
+Copyright (c) 2026 louky0714
+
+Permission is hereby granted, free of charge, to any person obtaining a copy
+of this software and associated documentation files (the "Software"), to deal
+in the Software without restriction, including without limitation the rights
+to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
+copies of the Software, and to permit persons to whom the Software is
+furnished to do so, subject to the following conditions:
+
+The above copyright notice and this permission notice shall be included in all
+copies or substantial portions of the Software.
+
+THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
+IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
+FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
+AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
+LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
+OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE
+SOFTWARE.

awsgetsts-0.1.0/MANIFEST.in

@@ -0,0 +1,7 @@
+include README.md
+include LICENSE
+include requirements.txt
+include aws_user_config_sample.json
+recursive-exclude tests *
+global-exclude __pycache__
+global-exclude *.py[cod]

awsgetsts-0.1.0/PKG-INFO

@@ -0,0 +1,203 @@
+Metadata-Version: 2.4
+Name: awsgetsts
+Version: 0.1.0
+Summary: Issue AWS STS session tokens (MFA/TOTP) and merge them into ~/.aws/config
+Author-email: louky0714 <louky0714@gmail.com>
+License: MIT
+Project-URL: Homepage, https://github.com/HonamSong/aws-getsts
+Project-URL: Repository, https://github.com/HonamSong/aws-getsts
+Project-URL: Issues, https://github.com/HonamSong/aws-getsts/issues
+Keywords: aws,sts,mfa,totp,cli,credentials
+Classifier: Development Status :: 4 - Beta
+Classifier: Environment :: Console
+Classifier: Intended Audience :: Developers
+Classifier: Intended Audience :: System Administrators
+Classifier: License :: OSI Approved :: MIT License
+Classifier: Operating System :: MacOS
+Classifier: Operating System :: POSIX :: Linux
+Classifier: Programming Language :: Python :: 3
+Classifier: Programming Language :: Python :: 3 :: Only
+Classifier: Programming Language :: Python :: 3.9
+Classifier: Programming Language :: Python :: 3.10
+Classifier: Programming Language :: Python :: 3.11
+Classifier: Programming Language :: Python :: 3.12
+Classifier: Topic :: Security
+Classifier: Topic :: System :: Systems Administration :: Authentication/Directory
+Requires-Python: >=3.9
+Description-Content-Type: text/markdown
+License-File: LICENSE
+Requires-Dist: boto3<2,>=1.43
+Requires-Dist: pyotp<3,>=2.9
+Requires-Dist: python-dateutil<3,>=2.9
+Requires-Dist: cplogger<1,>=0.1
+Requires-Dist: termcolor<4,>=2
+Dynamic: license-file
+
+# awsgetsts
+
+AWS STS 임시 자격증명(session token)을 MFA/TOTP 와 함께 자동으로 발급·갱신하여
+`~/.aws/config` 에 `[profile sts-<name>]` 섹션으로 저장하는 CLI 유틸리티.
+
+Small CLI that issues AWS STS session tokens (with MFA/TOTP) and merges
+them into `~/.aws/config` as `[profile sts-<name>]` sections.
+
+## 특징 / Features
+
+- MFA 디바이스 ARN + TOTP shared secret 으로 `sts:GetSessionToken` 호출
+- 기존 토큰 유효기간 확인 후 만료 임박 시에만 갱신 (`--force` 로 강제)
+- 다중 프로필 지원, `--profile` 반복 지정 가능
+- 대화형 마법사(`--setup`)로 최초 설정 파일 생성
+- 종합 진단(`--check`): 설정 파일 / AWS 프로필 / 토큰 유효성 점검
+- 한/영 자동 전환 (터미널 UTF-8 지원 여부 기준, `AWSGETSTS_LANG` 로 강제)
+- 컬러 상태 표시 (TTY 자동 감지, `FORCE_COLOR` / `NO_COLOR` 존중)
+
+## 요구사항 / Requirements
+
+- Python 3.9+
+- 의존성 / dependencies: `boto3`, `pyotp`, `python-dateutil`, `cplogger`, `termcolor`
+
+설치 / install:
+
+```
+pip install boto3 pyotp python-dateutil cplogger termcolor
+```
+
+## 빠른 시작 / Quick start
+
+```
+# 최초 설정 (대화형 마법사) / first-time setup
+./awsgetsts.py --setup
+
+# 상태 진단 / diagnose
+./awsgetsts.py --check
+
+# 모든 프로필 갱신 / refresh all profiles
+./awsgetsts.py
+
+# 특정 프로필만 / one profile
+./awsgetsts.py -p dev
+
+# 강제 재발급 / force refresh
+./awsgetsts.py --force
+
+# 파일에 쓰지 않고 미리보기 / dry-run
+./awsgetsts.py --dry-run
+
+# 특정 프로필만 수정 / edit one profile
+./awsgetsts.py --edit -p dev
+
+# 특정 프로필만 삭제 / delete one profile
+./awsgetsts.py --clean -p dev
+```
+
+## CLI 옵션 / Options
+
+| 옵션 | 설명 |
+| --- | --- |
+| -p, --profile NAME | 대상 프로필 (반복 가능). 생략 시 설정된 모든 프로필. |
+| -c, --config PATH | 사용자 설정 파일 경로 |
+| -d, --duration SEC | 세션 지속시간(초). 기본값은 sts 모듈의 DEFAULT_DURATION |
+| --force | 기존 토큰이 유효해도 재발급 |
+| --dry-run | ~/.aws/config 에 쓰지 않고 표준출력에 INI 출력 |
+| --cli-pager | 각 sts 섹션에 `cli_pager =` 추가 (프롬프트 스킵) |
+| --no-cli-pager | `cli_pager =` 추가 안 함 (프롬프트 스킵) |
+| --setup | 대화형 설정 마법사 실행 |
+| --edit | 선택한 프로필만 대화형으로 수정 (`-p` 필수, 필드별 Enter로 기존값 유지) |
+| --list | 사용자 설정 파일의 프로필 이름 목록 |
+| --list-aws | ~/.aws/config 의 프로필 이름 목록 |
+| --check | 설정 / AWS 프로필 / 토큰 유효성 진단 (STS 미호출) |
+| --clean | 도구가 만든 파일 삭제 (사용자 JSON + `awsUserConfig.json` 프로필과 매칭되는 sts-* 섹션만). `-p` 지정 시 해당 프로필만 부분 삭제 (파일 유지). `--dry-run` 병용 시 미리보기 |
+| -v, --verbose | DEBUG 로그까지 출력 |
+| -q, --quiet | 경고/오류만 출력 |
+| -V, --version | 버전 표시 |
+
+## 설정 파일 / Config file
+
+기본 위치 / default location:
+
+```
+~/.config/getAwsSTS/awsUserConfig.json
+```
+
+탐색 순서 / lookup order:
+
+1. `--config` 로 명시한 경로
+2. `AWSGETSTS_CONFIG` 환경변수
+3. `~/.config/getAwsSTS/awsUserConfig.json` (정규 기본값)
+4. (legacy) 엔트리 스크립트 옆 `aws_user_config.json`
+5. (legacy) 현재 디렉토리 `./aws_user_config.json`
+
+포맷 / format:
+
+```
+{
+    "dev": {
+        "account_id": "123456789012",
+        "profile": "dev",
+        "mfa_serial": "arn:aws:iam::123456789012:mfa/your-username",
+        "totp_secret": "BASE32SECRET"
+    }
+}
+```
+
+- `account_id`: 12자리 AWS 계정 ID
+- `profile`: `~/.aws/config` 의 base 프로필 이름 (자격증명 조회 소스)
+- `mfa_serial`: MFA 디바이스 ARN
+- `totp_secret`: MFA 등록 시 발급되는 base32 shared secret
+
+파일은 wizard 가 자동으로 `chmod 600` 처리.
+
+## 동작 흐름 / How it works
+
+1. `~/.aws/config` 에 base profile (`profile <name>`) 존재 확인
+2. 기존 `profile sts-<name>` 섹션의 만료시각 확인 → 유효하면 스킵
+3. `sts:GetSessionToken` 호출 (TOTP 코드로 MFA 인증)
+4. 발급된 자격증명을 `[profile sts-<name>]` 로 병합 저장
+5. 옵션에 따라 `cli_pager =` 추가
+
+## 환경변수 / Environment variables
+
+| 변수 | 용도 |
+| --- | --- |
+| AWSGETSTS_CONFIG | 사용자 설정 파일 경로 override |
+| AWSGETSTS_LANG | `ko` / `en` — 출력 언어 강제 (기본: 터미널 인코딩) |
+| FORCE_COLOR | 비-TTY 에서도 컬러 강제 |
+| NO_COLOR | 컬러 비활성화 |
+
+## --check 출력 예 / Sample --check output
+
+```
+[awsgetsts --check] 프로필 진단
+────────────────────────────────────────────────────────────
+Files
+  user_config      : FOUND    ~/.config/getAwsSTS/awsUserConfig.json
+  aws_config       : FOUND    ~/.aws/config
+  aws_credentials  : FOUND    ~/.aws/credentials
+────────────────────────────────────────────────────────────
+[dev] user_config=OK | aws_profile=OK | token=VALID (until 2026-09-02 03:15:00 KST)
+[prod] user_config=OK | aws_profile=OK | token=EXPIRED (2026-09-01 08:00:00 KST)
+────────────────────────────────────────────────────────────
+[awsgetsts --check] Summary
+  total                  : 2
+  valid                  : 1
+  expired                : 1
+  no_token               : 0
+  missing_user_cfg       : 0
+  missing_aws_profile    : 0
+```
+
+## 종료 코드 / Exit codes
+
+| 코드 | 의미 |
+| --- | --- |
+| 0 | 정상 종료 |
+| 1 | STS 호출 실패 등 발급 실패 존재 |
+| 2 | 잘못된 인자 / 설정 로드 실패 / 알 수 없는 프로필 |
+| 130 | 사용자 취소 (Ctrl+C / EOF) |
+
+## 보안 / Security
+
+- `awsUserConfig.json` 은 TOTP shared secret 을 포함 → 반드시 `chmod 600`, 유출 금지
+- 노출된 secret 은 즉시 MFA 재등록으로 폐기
+- `.aws/credentials` 의 Access Key 도 동일하게 취급
+

awsgetsts-0.1.0/README.md

@@ -0,0 +1,168 @@
+# awsgetsts
+
+AWS STS 임시 자격증명(session token)을 MFA/TOTP 와 함께 자동으로 발급·갱신하여
+`~/.aws/config` 에 `[profile sts-<name>]` 섹션으로 저장하는 CLI 유틸리티.
+
+Small CLI that issues AWS STS session tokens (with MFA/TOTP) and merges
+them into `~/.aws/config` as `[profile sts-<name>]` sections.
+
+## 특징 / Features
+
+- MFA 디바이스 ARN + TOTP shared secret 으로 `sts:GetSessionToken` 호출
+- 기존 토큰 유효기간 확인 후 만료 임박 시에만 갱신 (`--force` 로 강제)
+- 다중 프로필 지원, `--profile` 반복 지정 가능
+- 대화형 마법사(`--setup`)로 최초 설정 파일 생성
+- 종합 진단(`--check`): 설정 파일 / AWS 프로필 / 토큰 유효성 점검
+- 한/영 자동 전환 (터미널 UTF-8 지원 여부 기준, `AWSGETSTS_LANG` 로 강제)
+- 컬러 상태 표시 (TTY 자동 감지, `FORCE_COLOR` / `NO_COLOR` 존중)
+
+## 요구사항 / Requirements
+
+- Python 3.9+
+- 의존성 / dependencies: `boto3`, `pyotp`, `python-dateutil`, `cplogger`, `termcolor`
+
+설치 / install:
+
+```
+pip install boto3 pyotp python-dateutil cplogger termcolor
+```
+
+## 빠른 시작 / Quick start
+
+```
+# 최초 설정 (대화형 마법사) / first-time setup
+./awsgetsts.py --setup
+
+# 상태 진단 / diagnose
+./awsgetsts.py --check
+
+# 모든 프로필 갱신 / refresh all profiles
+./awsgetsts.py
+
+# 특정 프로필만 / one profile
+./awsgetsts.py -p dev
+
+# 강제 재발급 / force refresh
+./awsgetsts.py --force
+
+# 파일에 쓰지 않고 미리보기 / dry-run
+./awsgetsts.py --dry-run
+
+# 특정 프로필만 수정 / edit one profile
+./awsgetsts.py --edit -p dev
+
+# 특정 프로필만 삭제 / delete one profile
+./awsgetsts.py --clean -p dev
+```
+
+## CLI 옵션 / Options
+
+| 옵션 | 설명 |
+| --- | --- |
+| -p, --profile NAME | 대상 프로필 (반복 가능). 생략 시 설정된 모든 프로필. |
+| -c, --config PATH | 사용자 설정 파일 경로 |
+| -d, --duration SEC | 세션 지속시간(초). 기본값은 sts 모듈의 DEFAULT_DURATION |
+| --force | 기존 토큰이 유효해도 재발급 |
+| --dry-run | ~/.aws/config 에 쓰지 않고 표준출력에 INI 출력 |
+| --cli-pager | 각 sts 섹션에 `cli_pager =` 추가 (프롬프트 스킵) |
+| --no-cli-pager | `cli_pager =` 추가 안 함 (프롬프트 스킵) |
+| --setup | 대화형 설정 마법사 실행 |
+| --edit | 선택한 프로필만 대화형으로 수정 (`-p` 필수, 필드별 Enter로 기존값 유지) |
+| --list | 사용자 설정 파일의 프로필 이름 목록 |
+| --list-aws | ~/.aws/config 의 프로필 이름 목록 |
+| --check | 설정 / AWS 프로필 / 토큰 유효성 진단 (STS 미호출) |
+| --clean | 도구가 만든 파일 삭제 (사용자 JSON + `awsUserConfig.json` 프로필과 매칭되는 sts-* 섹션만). `-p` 지정 시 해당 프로필만 부분 삭제 (파일 유지). `--dry-run` 병용 시 미리보기 |
+| -v, --verbose | DEBUG 로그까지 출력 |
+| -q, --quiet | 경고/오류만 출력 |
+| -V, --version | 버전 표시 |
+
+## 설정 파일 / Config file
+
+기본 위치 / default location:
+
+```
+~/.config/getAwsSTS/awsUserConfig.json
+```
+
+탐색 순서 / lookup order:
+
+1. `--config` 로 명시한 경로
+2. `AWSGETSTS_CONFIG` 환경변수
+3. `~/.config/getAwsSTS/awsUserConfig.json` (정규 기본값)
+4. (legacy) 엔트리 스크립트 옆 `aws_user_config.json`
+5. (legacy) 현재 디렉토리 `./aws_user_config.json`
+
+포맷 / format:
+
+```
+{
+    "dev": {
+        "account_id": "123456789012",
+        "profile": "dev",
+        "mfa_serial": "arn:aws:iam::123456789012:mfa/your-username",
+        "totp_secret": "BASE32SECRET"
+    }
+}
+```
+
+- `account_id`: 12자리 AWS 계정 ID
+- `profile`: `~/.aws/config` 의 base 프로필 이름 (자격증명 조회 소스)
+- `mfa_serial`: MFA 디바이스 ARN
+- `totp_secret`: MFA 등록 시 발급되는 base32 shared secret
+
+파일은 wizard 가 자동으로 `chmod 600` 처리.
+
+## 동작 흐름 / How it works
+
+1. `~/.aws/config` 에 base profile (`profile <name>`) 존재 확인
+2. 기존 `profile sts-<name>` 섹션의 만료시각 확인 → 유효하면 스킵
+3. `sts:GetSessionToken` 호출 (TOTP 코드로 MFA 인증)
+4. 발급된 자격증명을 `[profile sts-<name>]` 로 병합 저장
+5. 옵션에 따라 `cli_pager =` 추가
+
+## 환경변수 / Environment variables
+
+| 변수 | 용도 |
+| --- | --- |
+| AWSGETSTS_CONFIG | 사용자 설정 파일 경로 override |
+| AWSGETSTS_LANG | `ko` / `en` — 출력 언어 강제 (기본: 터미널 인코딩) |
+| FORCE_COLOR | 비-TTY 에서도 컬러 강제 |
+| NO_COLOR | 컬러 비활성화 |
+
+## --check 출력 예 / Sample --check output
+
+```
+[awsgetsts --check] 프로필 진단
+────────────────────────────────────────────────────────────
+Files
+  user_config      : FOUND    ~/.config/getAwsSTS/awsUserConfig.json
+  aws_config       : FOUND    ~/.aws/config
+  aws_credentials  : FOUND    ~/.aws/credentials
+────────────────────────────────────────────────────────────
+[dev] user_config=OK | aws_profile=OK | token=VALID (until 2026-09-02 03:15:00 KST)
+[prod] user_config=OK | aws_profile=OK | token=EXPIRED (2026-09-01 08:00:00 KST)
+────────────────────────────────────────────────────────────
+[awsgetsts --check] Summary
+  total                  : 2
+  valid                  : 1
+  expired                : 1
+  no_token               : 0
+  missing_user_cfg       : 0
+  missing_aws_profile    : 0
+```
+
+## 종료 코드 / Exit codes
+
+| 코드 | 의미 |
+| --- | --- |
+| 0 | 정상 종료 |
+| 1 | STS 호출 실패 등 발급 실패 존재 |
+| 2 | 잘못된 인자 / 설정 로드 실패 / 알 수 없는 프로필 |
+| 130 | 사용자 취소 (Ctrl+C / EOF) |
+
+## 보안 / Security
+
+- `awsUserConfig.json` 은 TOTP shared secret 을 포함 → 반드시 `chmod 600`, 유출 금지
+- 노출된 secret 은 즉시 MFA 재등록으로 폐기
+- `.aws/credentials` 의 Access Key 도 동일하게 취급
+

awsgetsts-0.1.0/aws_user_config_sample.json

@@ -0,0 +1,8 @@
+{
+    "dev": {
+        "account_id": "",
+        "profile": "dev",
+        "mfa_serial": "",
+        "totp_secret": ""
+    },
+}

awsgetsts-0.1.0/awsgetsts/__init__.py

@@ -0,0 +1,11 @@
+"""awsgetsts — AWS STS 임시 자격증명 발급 유틸리티.
+
+awsgetsts is a small utility that fetches AWS STS session tokens
+(optionally with MFA/TOTP) and writes them to ``~/.aws/config``
+as ``profile sts-<name>`` entries.
+"""
+
+from __future__ import annotations
+
+__version__ = "0.1.0"
+__all__ = ["__version__"]

awsgetsts-0.1.0/awsgetsts/__main__.py

@@ -0,0 +1,10 @@
+"""``python -m awsgetsts`` 엔트리 / Entry point for module invocation."""
+
+from __future__ import annotations
+
+import sys
+
+from .cli import main
+
+if __name__ == "__main__":
+    sys.exit(main())

awsgetsts-0.1.0/awsgetsts/aws_config.py

@@ -0,0 +1,224 @@
+"""~/.aws/config 관련 유틸 / Helpers for ~/.aws/config.
+
+- 프로필 존재 여부 확인 / profile existence checks
+- 토큰 만료 검사 / expiration check for existing sts-<name> profiles
+- INI 파일 병합 저장 / merge-write INI sections
+"""
+
+from __future__ import annotations
+
+import configparser
+import datetime
+from datetime import timedelta, timezone
+from pathlib import Path
+from typing import Iterable, List, Optional
+
+from dateutil.tz import tzutc
+
+from .logger import log
+
+AWS_CONFIG_PATH = Path.home() / ".aws" / "config"
+AWS_CREDENTIALS_PATH = Path.home() / ".aws" / "credentials"
+KST = timezone(timedelta(hours=9), name="KST")
+
+
+def convert_to_kst(dt: datetime.datetime) -> datetime.datetime:
+    """UTC → KST 변환 / Convert to Korea Standard Time."""
+    if dt.tzinfo is None:
+        dt = dt.replace(tzinfo=tzutc())
+    return dt.astimezone(KST)
+
+
+def _read_ini(path: Path) -> configparser.ConfigParser:
+    parser = configparser.ConfigParser()
+    if path.exists():
+        parser.read(path)
+    return parser
+
+
+def list_aws_profiles(
+    config_path: Path = AWS_CONFIG_PATH,
+    credentials_path: Path = AWS_CREDENTIALS_PATH,
+) -> List[str]:
+    """~/.aws 에 설정된 모든 프로필 이름 반환 / List AWS profiles."""
+    profiles: set[str] = set()
+
+    cfg = _read_ini(config_path)
+    for section in cfg.sections():
+        name = section.replace("profile ", "") if section != "default" else "default"
+        profiles.add(name)
+
+    creds = _read_ini(credentials_path)
+    for section in creds.sections():
+        profiles.add(section)
+
+    return sorted(profiles)
+
+
+def profile_exists(
+    profile_name: str,
+    config_path: Path = AWS_CONFIG_PATH,
+    credentials_path: Path = AWS_CREDENTIALS_PATH,
+) -> bool:
+    """지정 프로필이 존재하는지 확인 / Check whether a profile is configured."""
+    cfg = _read_ini(config_path)
+    section = "default" if profile_name == "default" else f"profile {profile_name}"
+    if cfg.has_section(section):
+        return True
+
+    creds = _read_ini(credentials_path)
+    return creds.has_section(profile_name)
+
+
+def existing_token_valid(
+    profile_name: str,
+    config_path: Path = AWS_CONFIG_PATH,
+    now: Optional[datetime.datetime] = None,
+) -> bool:
+    """기존 sts-<name> 프로필이 아직 유효한지 검사 / Is the stored token still valid?"""
+    section = f"profile sts-{profile_name}"
+
+    cfg = _read_ini(config_path)
+    if not cfg.has_section(section):
+        log.debug(f"section {section} not found")
+        return False
+    if not cfg.has_option(section, "expiration"):
+        log.debug(f"expiration missing in {section}")
+        return False
+
+    expiration_str = cfg.get(section, "expiration")
+    try:
+        expiration = datetime.datetime.fromisoformat(expiration_str)
+    except ValueError as e:
+        log.warn(f"invalid expiration in {section}: {e}")
+        return False
+
+    current = now or datetime.datetime.now(tz=expiration.tzinfo)
+    kst = convert_to_kst(expiration)
+    if current >= expiration:
+        # 타임스탬프 없이 강조 / plain print for visibility
+        print(f"[{section}] 토큰 만료됨 (만료: {kst}) - 새 토큰 발급 필요")
+        return False
+
+    print(f"[{section}] 토큰 유효함 (만료 예정일: {kst})")
+    return True
+
+
+def token_info(
+    profile_name: str,
+    config_path: Path = AWS_CONFIG_PATH,
+    now: Optional[datetime.datetime] = None,
+) -> tuple[str, Optional[datetime.datetime]]:
+    """sts-<name> 토큰 상태 조회 / Inspect stored STS token.
+
+    Returns ``(state, expiration)`` where state is one of
+    ``"none"``, ``"invalid"``, ``"expired"``, ``"valid"``.
+    """
+    section = f"profile sts-{profile_name}"
+    cfg = _read_ini(config_path)
+    if not cfg.has_section(section) or not cfg.has_option(section, "expiration"):
+        return ("none", None)
+    try:
+        expiration = datetime.datetime.fromisoformat(cfg.get(section, "expiration"))
+    except ValueError:
+        return ("invalid", None)
+    current = now or datetime.datetime.now(tz=expiration.tzinfo)
+    return ("valid" if current < expiration else "expired", expiration)
+
+
+def write_sts_sections(
+    sections: Iterable[tuple[str, dict]],
+    config_path: Path = AWS_CONFIG_PATH,
+    add_cli_pager: bool = True,
+) -> None:
+    """STS 세션을 ~/.aws/config 에 병합 저장 / Merge STS sections into ~/.aws/config.
+
+    ``sections`` yields ``(section_name, key_value_dict)``. The section
+    name is written verbatim (e.g. ``"profile sts-dev"``). When
+    ``add_cli_pager`` is True, ``cli_pager = `` is appended to each
+    written section (disables the AWS CLI pager).
+    """
+    existing = _read_ini(config_path)
+
+    for section_name, kv in sections:
+        if not existing.has_section(section_name):
+            existing.add_section(section_name)
+        for key, value in kv.items():
+            existing.set(section_name, key, value)
+        if add_cli_pager:
+            existing.set(section_name, "cli_pager", "")
+
+    config_path.parent.mkdir(parents=True, exist_ok=True)
+    with config_path.open("w", encoding="utf-8") as f:
+        existing.write(f)
+
+
+def list_sts_sections(config_path: Path = AWS_CONFIG_PATH) -> List[str]:
+    """~/.aws/config 의 'profile sts-*' 섹션 이름 목록 / List sts-* sections."""
+    parser = _read_ini(config_path)
+    return [s for s in parser.sections() if s.startswith("profile sts-")]
+
+
+def remove_sts_sections(
+    section_names: Iterable[str],
+    config_path: Path = AWS_CONFIG_PATH,
+) -> int:
+    """지정된 섹션들을 ~/.aws/config 에서 제거 / Remove sections; return count."""
+    if not config_path.exists():
+        return 0
+    parser = _read_ini(config_path)
+    removed = 0
+    for name in section_names:
+        if parser.has_section(name):
+            parser.remove_section(name)
+            removed += 1
+    if removed:
+        with config_path.open("w", encoding="utf-8") as f:
+            parser.write(f)
+    return removed
+
+
+def upsert_base_profile(
+    profile_name: str,
+    access_key_id: str,
+    secret_access_key: str,
+    region: str = "ap-northeast-2",
+    output: str = "json",
+    config_path: Path = AWS_CONFIG_PATH,
+    credentials_path: Path = AWS_CREDENTIALS_PATH,
+) -> None:
+    """base AWS 프로필 신규/갱신 / Create or update a base AWS profile.
+
+    ~/.aws/credentials 에는 access_key / secret_key,
+    ~/.aws/config 에는 region / output 을 저장합니다.
+    Writes access keys to ~/.aws/credentials and region/output to ~/.aws/config.
+    Both files are chmod'd to 0600.
+    """
+    creds = _read_ini(credentials_path)
+    if not creds.has_section(profile_name):
+        creds.add_section(profile_name)
+    creds.set(profile_name, "aws_access_key_id", access_key_id)
+    creds.set(profile_name, "aws_secret_access_key", secret_access_key)
+
+    credentials_path.parent.mkdir(parents=True, exist_ok=True)
+    with credentials_path.open("w", encoding="utf-8") as f:
+        creds.write(f)
+    try:
+        credentials_path.chmod(0o600)
+    except OSError as e:
+        log.warn(f"chmod 0600 failed for {credentials_path}: {e}")
+
+    cfg = _read_ini(config_path)
+    section = "default" if profile_name == "default" else f"profile {profile_name}"
+    if not cfg.has_section(section):
+        cfg.add_section(section)
+    cfg.set(section, "region", region)
+    cfg.set(section, "output", output)
+
+    config_path.parent.mkdir(parents=True, exist_ok=True)
+    with config_path.open("w", encoding="utf-8") as f:
+        cfg.write(f)
+    try:
+        config_path.chmod(0o600)
+    except OSError as e:
+        log.warn(f"chmod 0600 failed for {config_path}: {e}")