ECS部署中SSO用户AWS密钥8小时过期，Node.js应用如何自动更新凭证？

最优方案：使用ECS任务角色（推荐） #

直接给ECS任务绑定IAM角色，让AWS SDK自动从ECS元数据服务获取临时凭证，完全不用手动配置环境变量，也不存在凭证过期需要手动更新的问题。

• 操作步骤：
  • 在AWS控制台创建/更新IAM角色，为其添加调用SNS、SES所需的最小权限（例如AmazonSESFullAccess、AmazonSNSFullAccess，按需裁剪）
  • 在ECS任务定义中，将任务角色配置为这个IAM角色
  • Node.js代码中无需设置任何AWS密钥环境变量，SDK会自动从ECS元数据服务获取有效凭证

代码示例（Node.js）：

const { SESClient, SendEmailCommand } = require("@aws-sdk/client-ses");

// SDK自动使用任务角色的临时凭证，无需手动配置
const sesClient = new SESClient({ region: "你的AWS区域" });

async function sendEmail() {
  const command = new SendEmailCommand({
    Source: "sender@example.com",
    Destination: { ToAddresses: ["recipient@example.com"] },
    Message: {
      Subject: { Data: "测试邮件" },
      Body: { Text: { Data: "这是通过ECS任务角色发送的邮件" } }
    }
  });
  const response = await sesClient.send(command);
  console.log("邮件发送成功:", response);
}
sendEmail();

若必须使用SSO角色 #

如果受限于特定场景必须使用SSO角色，可通过AWS SDK程序化获取并自动刷新临时凭证，无需依赖环境变量。

• 操作步骤：
  1. 确保ECS容器内已配置好SSO参数（可通过挂载本地SSO缓存文件，或在容器内设置SSO相关环境变量）
  2. 使用AWS SDK v3的credential-provider-sso模块自动管理凭证生命周期

代码示例：

const { SESClient, SendEmailCommand } = require("@aws-sdk/client-ses");
const { fromSSO } = require("@aws-sdk/credential-provider-sso");

async function getSesClient() {
  // 自动从SSO获取并刷新凭证
  const credentials = fromSSO({
    profile: "你的SSO配置文件名称",
    ssoRegion: "你的SSO区域",
    ssoAccountId: "你的AWS账号ID",
    ssoRoleName: "你要扮演的角色名称"
  });

  return new SESClient({
    region: "你的AWS区域",
    credentials: credentials
  });
}

// 调用示例
async function sendEmail() {
  const sesClient = await getSesClient();
  const command = new SendEmailCommand({
    // 邮件参数配置
  });
  await sesClient.send(command);
}

sendEmail();

该方式下，SDK会自动检测凭证过期状态，在需要时重新从SSO获取新凭证，无需手动干预。

注意事项 #

• 禁止将临时凭证硬编码到代码或环境变量中，既存在安全风险，又需要手动维护过期逻辑
• 优先选择ECS任务角色方案，这是AWS官方推荐的ECS资源访问方式，安全且无需额外维护
• 使用SSO方案时，需确保ECS容器具备访问AWS SSO服务的网络权限，且SSO配置参数正确

内容的提问来源于stack exchange，提问作者MJ Ghani