本地Docker容器化Lambda访问AWS服务的权限配置问题

核心原因 #

Lambda Docker运行环境的AWS SDK凭证加载优先级与普通Ruby脚本不同，默认会优先尝试ECS/Lambda执行角色凭证，导致你设置的环境变量被忽略。

无需修改代码的解决方法 #

1. 强制SDK优先读取环境变量 #

通过AWS_CREDENTIAL_PROVIDERS环境变量调整凭证提供者顺序，让环境变量优先级最高：

docker run -p 9000:8080 \
  -e AWS_ACCESS_KEY_ID=AKIAYADV775XXXXXXXXX \
  -e AWS_SECRET_ACCESS_KEY='ZVhoRF/0Y74f6Czzt1cDazleyIbQFJgP8yaXXXX' \
  -e AWS_DEFAULT_REGION="ap-northeast-1" \
  -e AWS_CREDENTIAL_PROVIDERS="env,ec2_instance_metadata,ecs_container" \
  test:latest

注意：密钥包含/这类特殊字符时，用单引号包裹可避免shell解析异常。

2. 挂载本地AWS凭证文件 #

将本地~/.aws/credentials文件挂载到容器内，让SDK读取该文件的凭证：

docker run -p 9000:8080 \
  -v ~/.aws/credentials:/tmp/.aws/credentials \
  -e AWS_SHARED_CREDENTIALS_FILE=/tmp/.aws/credentials \
  -e AWS_DEFAULT_REGION="ap-northeast-1" \
  test:latest

这种方式无需在命令行暴露凭证，更符合本地开发习惯。

3. 验证容器内环境变量是否生效 #

先进入容器检查环境变量是否正确传递：

# 启动容器后执行
docker exec -it <你的容器ID> env | grep AWS_

如果环境变量不存在，说明镜像的ENTRYPOINT/CMD脚本可能重置了环境变量，需要检查Dockerfile中的启动逻辑，确保环境变量被保留。

4. 启用SDK完整配置加载 #

设置AWS_SDK_LOAD_CONFIG=true，让SDK加载完整配置链，确保环境变量被读取：

docker run -p 9000:8080 \
  -e AWS_ACCESS_KEY_ID=AKIAYADV775XXXXXXXXX \
  -e AWS_SECRET_ACCESS_KEY='ZVhoRF/0Y74f6Czzt1cDazleyIbQFJgP8yaXXXX' \
  -e AWS_DEFAULT_REGION="ap-northeast-1" \
  -e AWS_SDK_LOAD_CONFIG=true \
  test:latest

补充说明 #

AWS SDK for Ruby在Lambda环境中默认的凭证提供者顺序为：

1. ECS容器角色
2. EC2实例元数据
3. 环境变量
4. 本地凭证文件

本地Docker容器没有前两种凭证源，但SDK仍会按默认顺序尝试，可能导致环境变量未被正确读取。通过调整提供者顺序或指定凭证文件路径，即可让SDK优先使用你设置的凭证。

内容的提问来源于stack exchange，提问作者tonystrawberry