如何将AWS Lambda上的Quarkus应用连接到DynamoDB

凭证管理最佳实践 #

优先使用IAM角色，这是AWS官方推荐的安全方案，无需手动管理凭证，彻底避免泄露风险：

• AWS云端部署（ECS/EKS/EC2等）：给Quarkus应用所在的资源（ECS任务、EKS服务账户、EC2实例）附加IAM角色，角色中配置DynamoDB的必要权限（严格遵循最小权限原则）。Quarkus通过AWS SDK默认凭证提供链自动获取角色凭证，无需在应用中配置任何凭证信息。
• 本地开发环境：使用AWS CLI配置的本地凭证文件（~/.aws/credentials）或环境变量（AWS_ACCESS_KEY_ID/AWS_SECRET_ACCESS_KEY），Quarkus会自动读取这些凭证，无需额外配置。

不推荐的方案：

• 直接硬编码凭证到配置文件：风险极高，极易导致凭证泄露。
• AWS SSM存储凭证：多了一层管理复杂度，仅在跨账号访问等特殊场景下考虑使用，常规场景下IAM角色更高效安全。

连接URL配置 #

• 本地开发（使用DynamoDB Local）：需要指定本地端点，在application.properties中配置：

  quarkus.dynamodb.endpoint-override=http://localhost:8000
  quarkus.dynamodb.ssl-enabled=false
  

• AWS云端部署：无需手动指定连接URL，AWS SDK会根据你配置的区域自动解析对应的DynamoDB官方端点，只需在配置中指定区域即可：

  quarkus.dynamodb.region=us-east-1
  

  若应用部署在VPC内，可配置DynamoDB的VPC端点，SDK会自动识别并通过VPC内网访问，无需额外调整配置。

Quarkus核心配置示例 #

本地开发配置 #

quarkus.dynamodb.region=us-east-1
quarkus.dynamodb.endpoint-override=http://localhost:8000
quarkus.dynamodb.ssl-enabled=false

云端生产配置 #

quarkus.dynamodb.region=us-east-1
# 无需端点和凭证配置，依赖IAM角色自动获取权限

必要依赖 #

确保已添加Quarkus DynamoDB扩展依赖（pom.xml）：

<dependency>
    <groupId>io.quarkus</groupId>
    <artifactId>quarkus-amazon-dynamodb</artifactId>
</dependency>

IAM角色权限示例 #

给应用关联的IAM角色附加最小权限策略，比如仅允许读写指定DynamoDB表：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "dynamodb:GetItem",
                "dynamodb:PutItem",
                "dynamodb:Scan"
            ],
            "Resource": "arn:aws:dynamodb:us-east-1:123456789012:table/your-table-name"
        }
    ]
}

内容的提问来源于stack exchange，提问作者piotrowicki