ECS Fargate用IAM任务角色连接MongoDB遇权限问题，求解决

核心结论 #

• 可以直接获取容器内当前假定任务角色的临时凭证，无需调用sts.getSessionToken
• 直接使用这些临时凭证通过MongoDB的IAM认证机制连接集群即可

具体实现步骤 #

1. 确保任务角色具备MongoDB连接权限 #

给ECS任务角色附加IAM权限策略，允许该角色对目标MongoDB集群执行连接操作。策略示例（按需调整资源ARN）：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "mongodb.amazonaws.com:connect"
      ],
      "Resource": "arn:aws:mongodb:<区域>:<账号ID>:cluster/<集群名称>"
    }
  ]
}

2. 获取容器内的任务角色临时凭证 #

ECS Fargate会自动把任务角色的临时凭证注入到容器中，有两种获取方式：

• 环境变量读取：容器内默认存在三个环境变量：
  • AWS_ACCESS_KEY_ID：临时访问密钥ID
  • AWS_SECRET_ACCESS_KEY：临时访问密钥
  • AWS_SESSION_TOKEN：临时会话令牌
    直接在应用代码中读取这三个变量即可。
• 元数据端点获取：通过ECS任务元数据服务获取，发送GET请求到：

  http://169.254.170.2/v2/credentials
  

  返回的JSON数据包含AccessKeyId、SecretAccessKey、SessionToken字段，解析后使用。

3. 使用凭证连接MongoDB #

通过MongoDB的MONGODB-AWS认证机制，将获取到的临时凭证传入连接配置：

• 连接字符串示例：

  mongodb+srv://${AWS_ACCESS_KEY_ID}:${AWS_SECRET_ACCESS_KEY}@your-cluster.mongodb.net/?authSource=$external&authMechanism=MONGODB-AWS&authMechanismProperties=AWS_SESSION_TOKEN:${AWS_SESSION_TOKEN}
  

• 驱动代码示例（以Node.js为例）：

  const { MongoClient } = require('mongodb');
  
  const client = new MongoClient('mongodb+srv://your-cluster.mongodb.net/', {
    authMechanism: 'MONGODB-AWS',
    auth: {
      user: process.env.AWS_ACCESS_KEY_ID,
      password: process.env.AWS_SECRET_ACCESS_KEY,
      awsSessionToken: process.env.AWS_SESSION_TOKEN
    }
  });
  

为什么不需要调用sts.getSessionToken #

ECS任务角色的凭证本身就是AWS临时会话凭证，根据IAM规则，会话凭证无法再调用GetSessionToken接口生成新的令牌，直接使用现有凭证即可完成MongoDB的IAM认证。

内容的提问来源于stack exchange，提问作者Gergő Horváth