ECS EC2节点运行boto3报NoCredentialsError问题及配置咨询

我有一个运行在EC2实例上的ECS集群，平时都是在EC2节点上部署容器来运行服务，这是ECS的基础用法。但现在我需要直接在EC2节点上运行代码，于是把用到boto3（用于GPU监控）的代码放到了userdata里，却遇到了错误：botocore.exceptions.NoCredentialsError: Unable to locate credentials。但在容器里运行包含boto3的脚本时就不会出现这个错误。我猜测ECS容器会自动配置AWS凭证，但ECS的EC2节点里没有，这个猜测对吗？能不能在EC2节点上做等效的配置？

你的猜测完全正确。

为什么ECS容器能自动获取凭证？ #

ECS容器启动时，ECS Agent会自动把**任务执行角色（Task Execution Role）**的临时凭证注入容器环境——要么通过AWS_ACCESS_KEY_ID、AWS_SECRET_ACCESS_KEY、AWS_SESSION_TOKEN这几个环境变量，要么通过ECS任务元数据端点提供。boto3会自动识别这些凭证来源，所以容器内的脚本无需额外配置就能正常调用AWS服务。

EC2节点怎么实现等效配置？ #

EC2节点本身可以通过**IAM实例角色（IAM Instance Role）**实现自动凭证管理，具体操作如下：

• 给ECS集群的EC2实例绑定一个合适的IAM实例角色，角色权限要覆盖你的boto3代码需求（比如GPU监控数据上报CloudWatch的权限）。绑定后，boto3会自动从EC2元数据服务（http://169.254.169.254）获取临时凭证，无需手动配置。
• 若你是把代码放在userdata里运行，可能遇到的问题是：userdata脚本在实例初始化早期执行，此时EC2元数据服务还未完全就绪，导致boto3拿不到凭证。解决办法是在脚本里添加等待逻辑，确保元数据服务可用后再执行代码：

  # 等待IAM凭证可用
  until curl -s http://169.254.169.254/latest/meta-data/iam/security-credentials/ > /dev/null; do
      sleep 5
  done
  # 执行你的boto3代码
  python3 your_gpu_monitor_script.py
  

不推荐的临时应急方式 #

如果只是临时测试，也可以手动在userdata里设置AWS凭证环境变量，或者创建~/.aws/credentials文件，但这种方式硬编码凭证，存在安全风险，不适合生产环境长期使用。

内容的提问来源于stack exchange，提问作者whitebear