如何利用Kubernetes Pod绑定的AWS角色访问SQS资源？

以下是导致凭证缺失错误的可能原因及对应解决步骤：

• 检查Pod的IAM角色绑定是否生效

  1. 查看Pod使用的ServiceAccount：

     kubectl describe pod <你的Pod名称> | grep ServiceAccount
     

  2. 确认该ServiceAccount已关联正确的IAM角色（以EKS为例）：

     kubectl describe serviceaccount <ServiceAccount名称>
     

     检查是否存在eks.amazonaws.com/role-arn注解，值是否为你的custom_role的ARN。若未关联，需重新配置ServiceAccount与IAM角色的绑定。

• 验证容器能否访问AWS实例元数据服务（IMDS）
  在Pod的容器内执行以下命令，测试是否能获取IAM角色凭证：

  curl http://169.254.169.254/latest/meta-data/iam/security-credentials/
  

  若返回你的custom_role名称，说明IMDS访问正常；若超时或无响应，需检查Pod的网络策略、安全组是否允许访问169.254.169.254地址。

• 清理容器内的AWS凭证环境变量
  检查Pod的容器是否存在AWS_ACCESS_KEY_ID、AWS_SECRET_ACCESS_KEY这两个环境变量。如果有，会导致AWS SDK优先读取这些空值或无效值，忽略IAM角色凭证。需在Pod部署文件中删除这些环境变量配置。

• 检查AWS SDK版本与配置
  若使用AWS SDK for JavaScript v2，确保代码中没有全局覆盖凭证配置（比如aws.config.credentials = ...）。SDK默认会按「环境变量 → 共享凭证文件 → IAM角色元数据」的顺序查找凭证，只要前面步骤没问题，SDK应能自动获取角色凭证。若使用v3版本，需确保引入@aws-sdk/credential-provider-node包以启用默认凭证链。

• 确认IAM角色权限是否正确
  再次检查custom_role的IAM策略，确保包含SQS对应操作权限（如sqs:SendMessage、sqs:ReceiveMessage等），且资源范围覆盖目标队列的ARN。

内容的提问来源于stack exchange，提问作者Secure Blob