调用AWS API创建EC2实例遇AuthFailure错误及认证咨询

通过本地HTTP客户端调用AWS EC2 API创建实例，请求参数如下：

https://ec2.amazonaws.com/?Action=RunInstances&
ImageId=ami-0129bfde49ddb0ed6&
MaxCount=1&
MinCount=1&
KeyName=chiavepem.pem&
SecurityGroupId.1=sg-0983aeb061077d2ab&
Placement.AvailabilityZone=eu-north-1&
AWSSecretKey=<redacted>&
AWSAccessKeyId=<redacted>

收到错误响应：

<?xml version="1.0" encoding="UTF-8"?>
<Response>
    <Errors>
        <Error>
            <Code>AuthFailure</Code>
            <Message>AWS was not able to validate the provided access credentials</Message>
        </Error>
    </Errors>
    <RequestID>c3c559d8-fe3f-4e60-bd16-1db621dfcbe4</RequestID>
</Response>

已确认账号EC2权限、信用卡信息、凭证本身无误，需排查AuthFailure的具体原因，并寻求更优的AWS API认证方式。

一、AuthFailure错误的可能原因 #

即便你确认了凭证本身无误，直接通过URL传递密钥的方式存在认证逻辑缺失，常见诱因包括：

• 缺少请求签名：AWS API要求对请求进行HMAC-SHA256签名校验，仅传递AWSAccessKeyId和AWSSecretKey不符合认证规范，AWS无法确认请求未被篡改。
• 区域与端点不匹配：你指定的可用区是eu-north-1，但请求的端点是默认的ec2.amazonaws.com（对应us-east-1区域），区域不匹配会触发认证校验失败。
• 密钥权限受限：账号整体有EC2权限不代表当前访问密钥被授予ec2:RunInstances操作权限，可能存在IAM权限边界、服务控制策略（SCP）的限制。
• 密钥状态异常：访问密钥可能被禁用，若使用的是临时凭证，则可能已过期。

二、更优的AWS API认证方式 #

直接传递访问密钥属于不安全的硬编码做法，推荐以下认证方案：

• 使用官方AWS SDK：比如Python的boto3、Java的AWS SDK等，SDK会自动处理请求签名、区域匹配、凭证管理，无需手动构造HTTP请求。
• IAM角色认证：如果在AWS内部资源（如EC2实例、Lambda函数）中调用API，绑定IAM角色后可自动获取临时凭证，无需硬编码密钥，且凭证会自动轮换。
• STS临时凭证：通过AWS STS服务调用GetSessionToken或AssumeRole获取临时凭证，这类凭证有有效期，可降低密钥泄露风险。
• AWS CLI调用：脚本场景下，配置AWS CLI凭证后，使用aws ec2 run-instances命令发起请求，CLI会自动处理认证逻辑。

内容的提问来源于stack exchange，提问作者violetflare