AWS Fargate容器中Node.js通过IAM角色访问S3遇凭证缺失问题

你混淆了ECS的任务执行角色（Execution Role）和任务角色（Task Role），这是导致凭证缺失的根本原因，同时你的S3权限配置也存在范围不足的问题。

核心概念区分 #

• 任务执行角色：给ECS服务本身使用，负责拉取容器镜像、推送日志到CloudWatch等任务生命周期管理操作，不是给容器内应用代码授权的角色。
• 任务角色：容器内应用代码访问AWS服务（如S3）的身份载体，AWS SDK会自动从容器元数据服务获取该角色的临时凭证。

你的配置错误点 #

1. 把S3访问权限附加给了任务执行角色，而非应用需要的任务角色
2. 任务定义中只指定了execution_role_arn，未配置task_role_arn，导致应用无法获取合法身份凭证
3. S3策略的Resource仅包含桶ARN，未覆盖桶内对象，即使凭证正常也会触发权限不足错误

修正后的完整配置 #

1. 创建独立的ECS任务角色（供应用使用）

# 应用专用的任务角色
resource "aws_iam_role" "ecs_task_role" {
  name = "ecsTaskRole"
  assume_role_policy = data.aws_iam_policy_document.ecs_task_role.json
}

# 任务角色的信任策略：允许ECS任务服务扮演该角色
data "aws_iam_policy_document" "ecs_task_role" {
  version = "2012-10-17"
  statement {
    effect = "Allow"
    actions = ["sts:AssumeRole"]
    principals {
      type = "Service"
      identifiers = ["ecs-tasks.amazonaws.com"]
    }
  }
}

2. 修正S3策略的资源范围

resource "aws_iam_policy" "read_write_image_storage" {
  name = "${var.environment}-read-write-image-storage"
  description = "Allows read/write access to S3 bucket in the ${var.environment} environment"
  
  policy = jsonencode({
    Version = "2012-10-17",
    Statement = [{
      Effect = "Allow",
      Action = [
        "s3:*"
      ],
      Resource = [
        aws_s3_bucket.image_storage.arn,
        "${aws_s3_bucket.image_storage.arn}/*" # 新增：授权桶内所有对象
      ]
    }]
  })
}

3. 将S3策略附加到任务角色

resource "aws_iam_role_policy_attachment" "task_role_s3_access" {
  role = aws_iam_role.ecs_task_role.name
  policy_arn = aws_iam_policy.read_write_image_storage.arn
}

4. 完善任务执行角色的基础权限（任务启动必备）

任务执行角色需要拉取镜像、写日志的权限，直接使用AWS托管策略即可：

resource "aws_iam_role_policy_attachment" "ecs_task_execution_role_policy" {
  role = aws_iam_role.ecs_task_execution_role.name
  policy_arn = "arn:aws:iam::aws:policy/service-role/AmazonECSTaskExecutionRolePolicy"
}

5. 在任务定义中指定任务角色

resource "aws_ecs_task_definition" "webapp" {
  family                   = "webapp-task"
  execution_role_arn       = aws_iam_role.ecs_task_execution_role.arn
  task_role_arn            = aws_iam_role.ecs_task_role.arn # 新增：指定应用使用的任务角色
  network_mode             = "awsvpc"
  requires_compatibilities = ["FARGATE"]
  cpu                      = "256"
  memory                   = "512"

  container_definitions = jsonencode([
    {
      "name" : "MyContainerDefinition",
      "image" : "MyContainerImage",
      "cpu" : 256,
      "memory" : 512,
      "essential" : true,
      "portMappings" : [
        {
          "containerPort" : 80,
          "hostPort" : 80,
          "protocol" : "tcp"
        }
      ],
      "environment" : [
        { "name": "AWS_REGION", "value": var.aws_region }
      ]
    }
  ])
}

代码无需修改 #

你的Node.js代码逻辑正确，AWS SDK会自动从容器元数据服务获取任务角色的临时凭证，不需要手动指定任何凭证信息。

验证步骤 #

1. 重新部署Terraform配置
2. 启动新的Fargate任务
3. 测试S3上传功能，此时应该不再出现"missing credentials"异常

内容的提问来源于stack exchange，提问作者kartycodes