Node.js应用本地开发：如何通过IAM角色安全访问S3 Bucket？

1. 利用AWS CLI本地配置凭证 #

AWS SDK会自动读取AWS CLI在本地存储的凭证信息，无需在代码中硬编码：

• 先安装AWS CLI，执行命令 aws configure，按提示输入你的IAM用户access key、secret key、region等信息（这些内容会存在本地~/.aws/credentials和~/.aws/config文件中，不会暴露在代码里）
• 修改代码，移除硬编码的密钥配置，SDK会自动加载本地CLI配置：

const AWS = require("aws-sdk");

// 无需手动配置密钥，SDK自动读取本地CLI配置
const S3 = new AWS.S3({
        region: "region",
        signatureVersion: "v4",
});

const getObject= (key, bucketName) => {
    return S3.getObject({ Bucket: bucketName, Key: key }).promise();
};

getObject("some_key", "some_bucket");

2. 基于EC2实例的IAM角色（本地开发用EC2场景） #

如果你的本地开发环境是AWS EC2实例，直接给实例附加具备S3访问权限的IAM角色即可：

• 在AWS控制台给目标EC2实例关联IAM角色，角色的权限策略需包含访问指定S3 bucket的必要权限（比如s3:GetObject）
• 代码无需任何密钥配置，SDK会自动从EC2实例的元数据服务获取临时凭证：

const AWS = require("aws-sdk");

const S3 = new AWS.S3({
        region: "region",
        signatureVersion: "v4",
});

const getObject= (key, bucketName) => {
    return S3.getObject({ Bucket: bucketName, Key: key }).promise();
};

getObject("some_key", "some_bucket");

3. 使用AWS IAM Identity Center（原SSO） #

适合团队协作的本地开发场景：

• 管理员在AWS控制台配置IAM Identity Center，给你的用户分配包含S3访问权限的权限集
• 本地安装AWS CLI并配置SSO，执行 aws sso login 完成身份验证
• SDK会自动读取SSO生成的临时凭证，代码同样无需硬编码密钥

关键注意事项 #

• AWS SDK的凭证加载优先级为：代码硬编码 > 环境变量 > 本地CLI配置 > EC2实例元数据 > SSO凭证，移除代码中的密钥配置后，SDK会自动按优先级匹配可用凭证
• 确保你的IAM用户/角色的策略只授予必要的S3权限（比如仅允许访问指定bucket的getObject操作），遵循最小权限原则

内容的提问来源于stack exchange，提问作者micronyks