如何让Boto3忽略环境变量凭证，改用EKS节点组IAM角色推送SQS消息

Boto3的凭证加载优先级为：环境变量 > 本地配置文件 > 实例IAM角色（含EKS节点组绑定角色）。要跳过环境变量直接使用节点角色，可通过以下两种直接方案实现：

方法1：显式初始化忽略环境变量的会话 #

直接在创建Boto3客户端时，传入空凭证参数强制跳过环境变量加载，让Boto3自动从EKS节点的实例元数据服务（IMDS）获取角色凭证。代码示例：

import boto3
from botocore.config import Config

# 创建会话时显式忽略环境变量凭证
session = boto3.Session(
    aws_access_key_id=None,
    aws_secret_access_key=None,
    aws_session_token=None,
    config=Config(region_name='你的SQS所在区域')
)

# 基于该会话创建SQS客户端
sqs_client = session.client('sqs')

# 示例：发送消息到指定SQS队列
sqs_client.send_message(
    QueueUrl='你的SQS队列URL',
    MessageBody='测试消息'
)

原理：当凭证参数传入None时，Boto3会跳过环境变量和本地配置文件的加载逻辑，直接尝试从IMDS拉取EKS节点绑定的IAM角色临时凭证。

方法2：手动从实例元数据获取节点角色凭证 #

直接绕过Boto3默认的凭证链，手动从IMDS拉取节点角色的临时凭证，再传入客户端。代码示例：

import boto3
from botocore.credentials import InstanceMetadataProvider, InstanceMetadataFetcher

# 初始化仅从实例元数据获取凭证的提供者
metadata_provider = InstanceMetadataProvider(
    iam_role_fetcher=InstanceMetadataFetcher(timeout=10, num_attempts=2)
)

# 获取节点角色的临时凭证
node_credentials = metadata_provider.load()

# 使用凭证创建SQS客户端
sqs_client = boto3.client(
    'sqs',
    aws_access_key_id=node_credentials.access_key,
    aws_secret_access_key=node_credentials.secret_key,
    aws_session_token=node_credentials.token,
    region_name='你的SQS所在区域'
)

# 示例：发送消息
sqs_client.send_message(QueueUrl='你的SQS队列URL', MessageBody='测试消息')

原理：直接对接IMDS获取节点角色凭证，完全不受环境变量、本地配置文件的影响，是最彻底的绕过方式。

关键注意事项 #

• 确保EKS节点组绑定的IAM角色已配置SQS发送权限（比如sqs:SendMessage），否则会抛出权限拒绝错误。
• 若服务运行在Pod中，也可考虑使用IRSA（Pod级IAM角色绑定）实现更细粒度的权限控制，但这属于架构调整；如果不想改动现有部署，上述两种方法更贴合需求。

内容的提问来源于stack exchange，提问作者Mansi Chauhan