ECS部署Python应用访问DynamoDB遇NoCredentialsError问题排查求助

1. 确认角色类型是否正确 #

你提到把IAM角色分配给了任务执行角色，但ECS容器内的应用需要使用的是任务角色（Task Role），而非任务执行角色：

• 任务执行角色的作用是让ECS服务拉取容器镜像、管理CloudWatch日志、访问Secrets Manager等服务；
• 任务角色才是专门给容器内应用提供IAM权限的角色，应用通过ECS元数据服务自动获取该角色的临时凭据。

验证方法：

• 打开ECS任务定义，检查“任务角色”字段是否已指定你的目标IAM角色，而不是只在“任务执行角色”里配置。

2. 检查CLI扮演角色的操作是否正确 #

你尝试用CLI扮演角色后本地容器仍无法生效，可能是凭据传递过程有误：

• 执行扮演角色命令时，确保输出的临时凭据完整：

  aws sts assume-role --role-arn arn:aws:iam::159*****:role/[你的角色名称] --role-session-name test-session
  

• 将输出中Credentials下的AccessKeyId、SecretAccessKey、SessionToken分别设置为环境变量：

  export AWS_ACCESS_KEY_ID=xxx
  export AWS_SECRET_ACCESS_KEY=xxx
  export AWS_SESSION_TOKEN=xxx
  

• 启动本地容器时，确保这些环境变量被传递到容器内部（比如用docker run -e AWS_ACCESS_KEY_ID=$AWS_ACCESS_KEY_ID ...）；
• 在容器内执行aws sts get-caller-identity验证是否成功切换到目标角色。

3. 检查应用的boto3凭据加载逻辑 #

boto3默认遵循AWS凭据链优先级（环境变量 > 元数据服务 > 本地配置文件），如果应用代码有自定义凭据加载逻辑，可能导致无法获取ECS任务角色的凭据：

• 检查代码中是否硬编码了AWS凭据，或者显式指定了凭据提供者；
• 确保代码没有禁用元数据服务访问（比如设置了AWS_EC2_METADATA_DISABLED=true环境变量）；
• 可以在容器内添加调试代码，打印boto3的凭据来源：

  import boto3
  from botocore.credentials import CredentialResolver
  
  resolver = CredentialResolver()
  creds = resolver.load_credentials()
  print(f"Credentials source: {creds.method}")
  

4. 验证IAM角色的信任策略有效性 #

虽然你的信任策略包含了ecs-tasks.amazonaws.com，但可以进一步确认：

• 检查角色的信任策略是否正确应用，没有被其他策略覆盖；
• 如果是EC2启动类型的ECS集群，确保ECS实例的IAM角色拥有ecs:StartTask权限（Fargate启动类型无需额外配置）。

5. 确认任务角色的权限策略范围 #

虽然当前报错是凭据未找到，但可以提前验证权限策略的准确性：

• 确认策略中DynamoDB资源ARN的账号ID（159*****）与你的AWS账号ID完全一致；
• 确认目标DynamoDB表的ARN与策略中的arn:aws:dynamodb:*:159*****:table/*匹配；
• 可以通过IAM模拟工具验证该角色是否拥有目标DynamoDB操作的权限。

内容的提问来源于stack exchange，提问作者user104