ECS Fargate容器无法找到任务执行角色凭证问题求助

核心原因 #

使用config.LoadDefaultConfig()加载默认配置时，AWS SDK for Go V2的凭证链在Fargate环境下未能自动识别容器凭证端点，转而尝试访问EC2实例元数据服务（IMDS）的169.254.169.254地址——而Fargate环境并不提供该端点，因此出现连接错误。

SDK默认会优先检查AWS_CONTAINER_CREDENTIALS_RELATIVE_URI环境变量，若该变量未被正确注入、或SDK版本不支持自动识别，就会 fallback 到EC2 IMDS流程。

具体解决步骤 #

1. 验证ECS任务定义配置 #

• 确保任务使用awsvpc网络模式（Fargate强制要求）。
• 确认任务已关联正确的任务执行角色，且角色策略包含SES发送权限（比如AmazonSESFullAccess或自定义策略允许ses:SendEmail/ses:SendRawEmail操作）。
• 检查容器定义中是否手动覆盖了AWS_CONTAINER_CREDENTIALS_RELATIVE_URI环境变量——该变量由ECS自动注入，无需手动设置。

2. 升级AWS SDK for Go V2版本 #

旧版本SDK对Fargate容器环境的自动识别支持不完善，建议升级到最新稳定版：

go get github.com/aws/aws-sdk-go-v2/config@latest
go get github.com/aws/aws-sdk-go-v2/service/ses@latest

3. 显式指定容器凭证提供者（自动识别失效时使用） #

若SDK自动识别仍有问题，可在加载配置时显式指定容器凭证提供者，强制使用Fargate的凭证端点：

import (
    "context"
    "github.com/aws/aws-sdk-go-v2/config"
    "github.com/aws/aws-sdk-go-v2/credentials/containercreds"
    "github.com/aws/aws-sdk-go-v2/service/ses"
)

func main() {
    cfg, err := config.LoadDefaultConfig(context.TODO(),
        config.WithCredentialsProvider(containercreds.New()),
        config.WithRegion("你的AWS区域"), // 例如us-east-1
    )
    if err != nil {
        panic(err)
    }

    repo.client = ses.NewFromConfig(cfg)
    // 后续发送邮件逻辑...
}

额外验证 #

可在容器内执行以下命令，确认环境变量是否正常注入：

echo $AWS_CONTAINER_CREDENTIALS_RELATIVE_URI

若输出为空，说明ECS任务配置存在问题，需重新检查任务执行角色关联及权限配置。

内容的提问来源于stack exchange，提问作者user2842685