Windows服务中AWS SDK调用失败：无法获取EC2元数据IAM凭证

这段代码在控制台应用中可正常运行，但在Windows服务环境下执行失败。已确认运行服务的用户账户权限配置正确，仍出现错误，求排查思路及原因分析。

代码示例 #

var awsOptions = new AWSOptions() {
     Region = Amazon.RegionEndpoint.USEast1,
     ProfilesLocation = "E:\\AWS\\credentials"
};
var buckets = await awsOptions.CreateServiceClient<Amazon.S3.IAmazonS3>().ListBucketsAsync(default);
Console.WriteLine(string.Join(Environment.NewLine, buckets.Buckets.Select(x => x.BucketName)));

错误信息 #

Amazon.Runtime.AmazonServiceException
无法从EC2实例元数据服务获取IAM安全凭证。

Amazon.Runtime.AmazonServiceException: 无法从EC2实例元数据服务获取IAM安全凭证。
在 Amazon.Runtime.DefaultInstanceProfileAWSCredentials.FetchCredentials()
在 Amazon.Runtime.DefaultInstanceProfileAWSCredentials.GetCredentials()
在 Amazon.Runtime.DefaultInstanceProfileAWSCredentials.GetCredentialsAsync()
在 Amazon.Runtime.Internal.CredentialsRetriever.InvokeAsync[T](IExecutionContext executionContext)
在 Amazon.Runtime.Internal.RetryHandler.InvokeAsync[T](IExecutionContext executionContext)
在 Amazon.Runtime.Internal.RetryHandler.InvokeAsync[T](IExecutionContext executionContext)
在 Amazon.Runtime.Internal.CallbackHandler.InvokeAsync[T](IExecutionContext executionContext)
在 Amazon.Runtime.Internal.CallbackHandler.InvokeAsync[T](IExecutionContext executionContext)
在 Amazon.S3.Internal.AmazonS3ExceptionHandler.InvokeAsync[T](IExecutionContext executionContext)
在 Amazon.Runtime.Internal.ErrorCallbackHandler.InvokeAsync[T](IExecutionContext executionContext)
在 Amazon.Runtime.Internal.MetricsHandler.InvokeAsync[T](IExecutionContext executionContext)
在 Gaige.Job.Testing.ConfigurationTestJob.TestJob() 位置 C:\Users\gmarx\source\repos\institutional-claims\Gaige.Job\Testing\ConfigurationTestJob.cs:行号 53
在 System.RuntimeMethodHandle.InvokeMethod(Object target, Void** arguments, Signature sig, Boolean isConstructor)
在 System.Reflection.MethodInvoker.Invoke(Object obj, IntPtr* args, BindingFlags invokeAttr)

排查思路及原因分析 #

核心原因 #

Windows服务环境下，AWS SDK未正确加载指定的credentials文件，转而尝试从EC2实例元数据服务获取凭证，但当前环境并非EC2实例，因此触发报错。

具体排查方向 #

• 文件访问权限验证：即便服务账户有全局权限，仍需确认其能否实际读取E:\\AWS\\credentials路径。Windows服务运行在会话0，可能存在NTFS权限继承问题，需检查文件夹是否明确授予服务账户读取权限，而非仅通过组权限间接赋予。
• 路径格式检查：确认ProfilesLocation的路径是否存在转义错误，或因服务环境工作目录不同导致相对路径失效。建议改用绝对路径，或把credentials文件移至服务账户的用户目录（如C:\Users\[服务账户名]\.aws\credentials），AWS SDK默认优先读取该位置。
• 强制指定凭证加载方式：AWS SDK的凭证加载有固定优先级（环境变量>系统属性>凭证文件>实例元数据），若服务环境存在干扰配置，可能导致SDK跳过指定文件。可显式指定使用凭证文件加载：

  var credentials = new Amazon.Runtime.SharedCredentialsFile(awsOptions.ProfilesLocation).GetCredentials("default");
  awsOptions.Credentials = credentials;
  

  其中"default"需替换为credentials文件中实际的配置段名称。
• 服务运行上下文差异：控制台应用运行在当前用户会话，Windows服务则在独立的会话0，可能存在环境变量、注册表读取差异。可在服务中输出当前工作目录，确认是否与控制台环境一致，或手动指定SDK配置路径。
• SDK版本升级：部分旧版AWS SDK在Windows服务环境下存在凭证加载bug，尝试升级到最新稳定版的AWSSDK.S3及相关依赖包。

内容的提问来源于stack exchange，提问作者Glenn