EC2上Docker容器内Boto3无法使用IAM角色隐式认证

针对你在EC2 Docker容器中运行Django应用时，Boto3无法自动通过IAM角色隐式认证的问题，以下是几个可尝试的配置修复方案，无需手动实现token缓存：

1. 调整Docker网络模式 #

默认的bridge网络模式可能会导致IMDSV2的跳数计算异常，虽然你已将实例的允许跳数设为63，但切换到host模式让容器直接复用宿主机网络栈，能消除网络层面的障碍，让Boto3和宿主机一样自动获取IAM角色凭证。

在docker-compose.yml中修改配置：

services:
  django-app:
    # 其他原有配置
    network_mode: host

注意：host模式会让容器直接使用宿主机端口，需避免端口冲突。

2. 清理容器内的AWS环境变量 #

如果容器内存在AWS_ACCESS_KEY_ID、AWS_SECRET_ACCESS_KEY这类环境变量，会覆盖Boto3的隐式IAM角色认证逻辑。执行以下命令检查：

docker exec -it <your-container-id> env | grep AWS_

若存在相关变量，需在容器启动配置中移除（比如docker-compose.yml里的environment块中删除这些变量）。

3. 配置容器的sysctl参数 #

启用net.ipv4.conf.all.route_localnet参数，允许容器访问EC2元数据服务的本地路由地址（169.254.169.254）。

在docker-compose.yml中添加：

services:
  django-app:
    # 其他原有配置
    sysctls:
      - net.ipv4.conf.all.route_localnet=1

或者用docker run命令启动时添加参数：

docker run --sysctl net.ipv4.conf.all.route_localnet=1 <your-image>

4. 强制Botocore使用IMDSV2 #

通过配置AWS凭证文件，强制Botocore使用IMDSV2协议自动获取token并缓存，无需手动干预。

在容器内创建~/.aws/config文件，添加以下内容：

[default]
credential_source = Ec2InstanceMetadata
metadata_service_version = 2
metadata_service_timeout = 5

也可以通过设置AWS_CONFIG_FILE环境变量指定配置文件路径。

关于Boto3会话过期的说明 #

Boto3会话本身不会过期，但它依赖的IMDSV2 token默认有效期为6小时。Botocore内置了凭证缓存机制，会在凭证即将过期时自动重新获取新token，无需自行实现缓存或重试逻辑。只要Botocore能正常访问IMDSV2，就能自动处理凭证刷新。

内容的提问来源于stack exchange，提问作者pdoherty926