如何在Gradle中获取AWS IAM Role凭证？Spring Boot项目故障排查

核心问题 #

你当前的AWS凭证配置使用了source_profile+role_arn的角色切换模式，但存在以下几个可能导致Gradle/Spring Boot无法正常加载凭证的原因：

1. 凭证配置缺少必填的role_session_name参数，部分AWS SDK版本要求必须指定会话名称才能获取临时凭证
2. 使用的AWS SDK版本过低，不支持这种基于配置文件的角色切换逻辑
3. Gradle或Spring Boot的AWS客户端没有正确触发角色凭证的获取流程

解决步骤 #

1. 完善AWS凭证文件配置 #

修改~/.aws/credentials，补充role_session_name参数（名称可自定义）：

[iam-user]
aws_access_key_id=my-key
aws_secret_access_key=my-key

[default]
source_profile = iam-user
role_arn = my-role-arn
role_session_name = gradle-spring-boot-session

2. 确认IAM用户的AssumeRole权限 #

再次验证iam-user的权限策略是否包含sts:AssumeRole权限（目标为你的my-role-arn），策略示例：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "sts:AssumeRole",
            "Resource": "my-role-arn"
        }
    ]
}

3. 升级AWS SDK版本 #

如果项目使用AWS SDK v1，确保版本不低于1.12.0；如果使用SDK v2，版本不低于2.17.0，这两个版本开始完善了对配置文件角色切换的支持。

4. 在Spring Boot中配置凭证加载 #

在application.properties或application.yml中明确指定使用default配置文件：

# application.properties
aws.credentials.profile-name=default
aws.region=你的AWS区域（如us-east-1）

5. 在Gradle任务中手动配置凭证提供者（如果Gradle任务直接调用AWS服务） #

如果你的Gradle任务需要直接操作AWS资源，在build.gradle中手动构建支持角色切换的凭证链：

import com.amazonaws.auth.AWSCredentialsProviderChain
import com.amazonaws.auth.ProfileCredentialsProvider
import com.amazonaws.auth.InstanceProfileCredentialsProvider

task deployToS3 {
    doLast {
        def credentialsProvider = new AWSCredentialsProviderChain(
            new ProfileCredentialsProvider("default"),
            new InstanceProfileCredentialsProvider(false)
        )
        // 用该凭证提供者初始化AWS客户端（比如AmazonS3Client）
        def s3Client = AmazonS3ClientBuilder.standard()
            .withCredentials(credentialsProvider)
            .withRegion("us-east-1")
            .build()
        // 执行后续操作
    }
}

6. 排查环境变量干扰 #

确保系统环境中没有设置AWS_ACCESS_KEY_ID和AWS_SECRET_ACCESS_KEY这两个变量，它们会优先于凭证文件的配置生效。

7. 测试凭证有效性 #

编写简单的测试代码验证是否能正常获取临时凭证：

import com.amazonaws.auth.AWSCredentials;
import com.amazonaws.auth.ProfileCredentialsProvider;

public class CredentialTest {
    public static void main(String[] args) {
        ProfileCredentialsProvider provider = new ProfileCredentialsProvider("default");
        AWSCredentials creds = provider.getCredentials();
        System.out.println("临时Access Key: " + creds.getAWSAccessKeyId());
        System.out.println("临时Secret Key: " + creds.getAWSSecretKey());
    }
}

运行该代码，如果能输出临时凭证，说明配置生效；如果报错，根据错误信息（如权限不足、无法找到角色等）进一步排查。

内容的提问来源于stack exchange，提问作者user8674189