Docker环境下Go连接DynamoDB出现凭证链无有效提供者错误

错误信息翻译 #

FATAL NoCredentialProviders: 凭证链中无有效提供者，原因如下：

• EnvAccessKeyNotFound: 未在环境变量中找到凭证
• SharedCredsLoad: 无法加载xxx-prod配置文件
• EC2RoleRequestError: 未找到EC2实例角色，具体原因：RequestError: 请求发送失败，触发于访问http://169.254.169.254/latest/meta-data/iam/security-credentials/时超时（等待响应头期间客户端超时）

现有代码与配置 #

DynamoDB连接代码 #

// connection/dynamodb包
// connectDynamo 返回DynamoDB客户端实例
func ConnectDynamo() (db *dynamodb.DynamoDB) {
    return dynamodb.New(session.Must(session.NewSession(&aws.Config{
        Region:                        &RegionName,
        MaxRetries:                    aws.Int(1),
        CredentialsChainVerboseErrors: aws.Bool(true),
        HTTPClient:                    &http.Client{Timeout: 10 * time.Second},
    })))
}

.env配置示例 #

AWS_ACCESS_KEY_ID="EXAMPLE123"
AWS_SECRET_ACCESS_KEY="EXAMPLE123/EXAMPLE123"
AWS_REGION="us-east-1"

问题原因 #

核心是AWS SDK无法获取合法访问凭证：

1. Docker容器未正确加载.env中的环境变量，导致SDK读不到AWS密钥
2. SDK默认尝试从EC2元数据服务获取角色凭证，但Docker容器内无法访问该服务，引发超时
3. .env中变量值的引号可能导致SDK解析失败

解决方案 #

1. 确保Docker容器正确注入环境变量 #

• 使用docker run命令时，通过--env-file参数加载.env：

  docker run --env-file .env 你的镜像名称
  

• 使用docker-compose时，在配置文件中添加env_file字段：

  services:
    你的服务名:
      env_file:
        - .env
  

• 修改.env格式，去掉变量值的引号（AWS SDK对带引号的值解析可能出错）：

  AWS_ACCESS_KEY_ID=EXAMPLE123
  AWS_SECRET_ACCESS_KEY=EXAMPLE123/EXAMPLE123
  AWS_REGION=us-east-1
  

2. 在代码中显式加载环境变量（调试/开发环境） #

引入godotenv包加载本地.env文件，确保代码能读取到变量：

import (
    "log"
    "github.com/joho/godotenv"
)

func init() {
    // 启动时加载.env文件
    if err := godotenv.Load(); err != nil {
        log.Fatal("加载.env文件失败")
    }
}

3. 显式指定凭证并禁用EC2元数据服务访问 #

避免SDK尝试访问EC2元数据服务，同时强制使用环境变量中的凭证：

import (
    "os"
    "github.com/aws/aws-sdk-go/aws"
    "github.com/aws/aws-sdk-go/aws/credentials"
    "github.com/aws/aws-sdk-go/aws/session"
    "github.com/aws/aws-sdk-go/service/dynamodb"
)

func ConnectDynamo() (db *dynamodb.DynamoDB) {
    // 从环境变量读取凭证
    creds := credentials.NewStaticCredentials(
        os.Getenv("AWS_ACCESS_KEY_ID"),
        os.Getenv("AWS_SECRET_ACCESS_KEY"),
        "",
    )

    sess := session.Must(session.NewSession())
    db = dynamodb.New(sess, &aws.Config{
        Region:                        aws.String(os.Getenv("AWS_REGION")),
        Credentials:                   creds,
        MaxRetries:                    aws.Int(1),
        CredentialsChainVerboseErrors: aws.Bool(true),
        HTTPClient:                    &http.Client{Timeout: 10 * time.Second},
    })
    return db
}

内容的提问来源于stack exchange，提问作者Isaac Da Silva Correa