spring-data-dynamodb库能否适配AWS SDK V2？含IAM角色认证诉求

核心思路：适配spring-data-dynamodb与AWS SDK V2凭证机制 #

spring-data-dynamodb虽基于SDK V1开发，但可通过自定义配置，让它复用SDK V2的凭证提供者（含Web Identity Token认证），同时保留JPA风格的CRUD实现，无需手动编写增强客户端API。

成功实现的关键步骤 #

1. 依赖调整 #

引入spring-data-dynamodb的同时，添加AWS SDK V2核心及DynamoDB相关依赖，确保版本兼容：

<!-- spring-data-dynamodb -->
<dependency>
    <groupId>io.github.boostchicken</groupId>
    <artifactId>spring-data-dynamodb</artifactId>
    <version>5.2.0</version>
</dependency>
<!-- AWS SDK V2 核心及DynamoDB模块 -->
<dependency>
    <groupId>software.amazon.awssdk</groupId>
    <artifactId>dynamodb</artifactId>
    <version>2.20.0</version>
</dependency>
<dependency>
    <groupId>software.amazon.awssdk</groupId>
    <artifactId>sts</artifactId>
    <version>2.20.0</version>
</dependency>
<dependency>
    <groupId>software.amazon.awssdk</groupId>
    <artifactId>auth</artifactId>
    <version>2.20.0</version>
</dependency>

2. 自定义DynamoDB客户端配置 #

创建配置类，基于SDK V2构建支持Web Identity认证的客户端，并适配spring-data-dynamodb的接口：

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import software.amazon.awssdk.auth.credentials.WebIdentityTokenFileCredentialsProvider;
import software.amazon.awssdk.regions.Region;
import software.amazon.awssdk.services.dynamodb.DynamoDbClient;
import io.github.boostchicken.spring.data.dynamodb.core.DynamoDbTemplate;

@Configuration
public class DynamoDbConfig {

    @Bean
    public DynamoDbClient dynamoDbClient() {
        return DynamoDbClient.builder()
                .region(Region.US_EAST_1) // 替换为你的实际区域
                .credentialsProvider(WebIdentityTokenFileCredentialsProvider.create())
                .build();
    }

    @Bean
    public DynamoDbTemplate dynamoDbTemplate(DynamoDbClient dynamoDbClient) {
        return new DynamoDbTemplate(dynamoDbClient);
    }
}

WebIdentityTokenFileCredentialsProvider会自动读取环境变量或默认路径下的Web Identity Token，实现基于IAM角色的认证，无需手动配置基础凭证。

3. 启用CMK加密 #

在实体类上通过注解关联加密配置，同时确保IAM角色拥有对应CMK的kms:Decrypt、kms:Encrypt权限，以及DynamoDB读写权限：

import io.github.boostchicken.spring.data.dynamodb.core.mapping.DynamoDBTable;
import io.github.boostchicken.spring.data.dynamodb.core.mapping.DynamoDBHashKey;

@DynamoDBTable(tableName = "YourTableName")
public class YourEntity {
    @DynamoDBHashKey
    private String id;
    // 其他字段及getter/setter
}

4. 保留JPA风格Repository #

继续使用spring-data-dynamodb的Repository接口，无需修改原有业务代码：

import io.github.boostchicken.spring.data.dynamodb.repository.EnableScan;
import io.github.boostchicken.spring.data.dynamodb.repository.DynamoDbRepository;

@EnableScan
public interface YourEntityRepository extends DynamoDbRepository<YourEntity, String> {
    // 自定义查询方法，如findByXXX
}

已验证的生产实践案例 #

不少企业在K8s/EKS环境中落地该方案：

• 容器化Spring应用通过IRSA（IAM Roles for Service Accounts）配置Web Identity认证，自动关联IAM角色
• 结合AWS KMS对DynamoDB表加密，满足合规要求
• 完全保留spring-data-dynamodb的Repository层代码，无需重构CRUD逻辑

这种方案既满足了高级环境的安全认证需求，又避免了手动编写SDK V2增强客户端API的繁琐，实现了平滑过渡。

内容的提问来源于stack exchange，提问作者Ace McCloud