VS2022中.NET6 AWS SAM项目IAM凭证异常求助

问题背景 #

使用Visual Studio 2022构建的.NET6 AWS Serverless Application Model（SAM）项目，基于Powertools for AWS Lambda (.NET)开发，单元测试时调用Secrets Manager接口抛出IAM凭证异常，但另一相同配置（同Powertools版本、同.aws\credentials文件）的项目可正常运行。AWS Explorer已成功连接AWS实例，aws-lambda-tools-defaults.json仅s3-prefix不同，修改后无效。

异常信息 #

Amazon.Runtime.AmazonServiceException
  HResult=0x80131500
  Message=Unable to get IAM security credentials from EC2 Instance Metadata Service.
  Source=AWSSDK.Core
  StackTrace:
   at Amazon.Runtime.DefaultInstanceProfileAWSCredentials.FetchCredentials()
   at Amazon.Runtime.DefaultInstanceProfileAWSCredentials.GetCredentials()
   at Amazon.Runtime.DefaultInstanceProfileAWSCredentials.GetCredentialsAsync()
   at Amazon.Runtime.Internal.CredentialsRetriever.<InvokeAsync>d__7`1.MoveNext()
   at Amazon.Runtime.Internal.RetryHandler.<InvokeAsync>d__10`1.MoveNext()
   at Amazon.Runtime.Internal.RetryHandler.<InvokeAsync>d__10`1.MoveNext()
   at Amazon.Runtime.Internal.CallbackHandler.<InvokeAsync>d__9`1.MoveNext()
   at Amazon.Runtime.Internal.CallbackHandler.<InvokeAsync>d__9`1.MoveNext()
   at Amazon.Runtime.Internal.ErrorCallbackHandler.<InvokeAsync>d__5`1.MoveNext()
   at Amazon.Runtime.Internal.MetricsHandler.<InvokeAsync>d__1`1.MoveNext()
   at Integrations.Documentation.Auth.POC.Lib.Secrets.SecretsHelper.<GetSecret>d__0.MoveNext() in C:\Users\xxx\source\repos\xxx\xxx\Secrets\SecretsHelper.cs:line 23

  This exception was originally thrown at this call stack:
    [External Code]
    xxx.xxx.xxx.xxx.xxx.Secrets.SecretsHelper.GetSecret(string) in SecretsHelper.cs

排查与解决方案 #

1. 明确AWS凭证加载优先级 #

AWS SDK for .NET的凭证加载顺序为：环境变量 > 系统属性 > 本地凭证文件 > EC2实例元数据。异常说明SDK跳过了前面的本地加载源，直接尝试从EC2元数据获取凭证，需检查本地凭证加载逻辑是否生效：

• 确认测试项目是否设置了AWS_PROFILE环境变量，指定要使用的.aws\credentials中的配置项；
• 检查本地凭证文件路径（Windows为C:\Users\<用户名>\.aws\credentials，Linux/macOS为~/.aws/credentials）是否正确，格式是否合规：

  [你的配置文件名]
  aws_access_key_id = AKIAXXXXXX
  aws_secret_access_key = XXXXXX
  

• 确保凭证文件权限正确（Windows下避免给其他用户读写权限）。

2. 显式指定SecretsManager客户端的凭证提供者 #

当前SecretsHelper中直接实例化AmazonSecretsManagerClient()，未指定凭证源，可能导致SDK加载逻辑异常。修改客户端初始化代码，强制从本地凭证加载：

public static class SecretsHelper
{
    public static async Task<GetSecretValueResponse> GetSecret(string secretId)
    {
        try
        {
            // 方式1：指定要使用的本地配置文件
            var client = new AmazonSecretsManagerClient(
                new StoredProfileAWSCredentials("你的配置文件名"),
                Amazon.RegionEndpoint.XXXXX); // 替换为你的AWS区域

            // 方式2：通过凭证链自动加载（推荐，兼容SDK默认逻辑）
            // var client = new AmazonSecretsManagerClient(new CredentialProfileStoreChain());
            
            var secretResp = await client.GetSecretValueAsync(new GetSecretValueRequest { SecretId = secretId });
            // ... 后续逻辑保持不变
        }
        catch (Exception ex)
        {
            // ... 异常处理逻辑保持不变
        }
    }
}

3. 检查测试项目的环境配置 #

• 对比正常项目的测试项目配置，确认是否设置了AWS_PROFILE环境变量；
• 在测试类初始化时临时添加环境变量，强制指定凭证源（仅测试用，生产环境不推荐硬编码）：

  public FunctionTest()
  {
      Environment.SetEnvironmentVariable("POWERTOOLS_METRICS_NAMESPACE", "AWSLambdaPowertools");
      Environment.SetEnvironmentVariable("POWERTOOLS_TRACE_DISABLED", "1");
      // 添加以下行指定配置文件
      Environment.SetEnvironmentVariable("AWS_PROFILE", "你的配置文件名");
      
      _functions = new Functions();
      _request = new APIGatewayProxyRequest();
      _context = new TestLambdaContext();
      _response = new APIGatewayProxyResponse();
  }
  

4. 验证凭证有效性与权限 #

使用AWS CLI执行以下命令，确认凭证能正常访问Secrets Manager：

aws secretsmanager get-secret-value --secret-id DeveloperHub_API_Key --profile 你的配置文件名

若命令执行失败，需检查凭证是否具备secretsmanager:GetSecretValue权限。

5. 确保依赖版本完全一致 #

对比两个项目的NuGet依赖包，确保AWSSDK.Core、AWSSDK.SecretsManager、AWS.Lambda.Powertools.*等所有AWS相关包的版本完全相同，避免版本差异导致的加载逻辑异常。

6. 清理缓存并重新构建 #

• 删除测试项目的bin、obj目录；
• 清理NuGet缓存后重新构建解决方案，排除旧配置或依赖缓存的影响。

内容的提问来源于stack exchange，提问作者CB_at_Sw