EC2实例中Go应用使用IAM角色访问Amazon SQS的技术咨询

1. Go应用能否使用该IAM角色？ #

可以。AWS SDK for Go（v1和v2版本均支持）能够自动从EC2实例绑定的IAM角色获取临时凭证，只要实例关联的IAM角色具备SQS访问权限，应用就能通过SDK利用该角色权限访问SQS。

2. 若可以，如何通过配置实现无需修改代码？ #

无需修改Go代码，完成以下配置即可：

• 配置IAM角色权限：给EC2绑定的IAM角色添加对应SQS操作的权限策略，比如消费者需要的sqs:ReceiveMessage、sqs:DeleteMessage等权限，根据业务需求调整具体操作列表。
• 使用SDK默认初始化逻辑：应用里用标准方式初始化SQS客户端，不要硬编码AWS密钥。示例代码如下：

  import (
      "context"
      "github.com/aws/aws-sdk-go-v2/config"
      "github.com/aws/aws-sdk-go-v2/service/sqs"
  )
  
  func main() {
      // 加载默认配置，SDK会自动查找凭证
      cfg, err := config.LoadDefaultConfig(context.TODO())
      if err != nil {
          panic(err)
      }
      // 创建SQS客户端
      sqsClient := sqs.NewFromConfig(cfg)
      // 后续用sqsClient执行消费逻辑
  }
  

  AWS SDK会通过凭证提供链自动寻找可用凭证，其中就包含从EC2实例元数据服务获取IAM角色的临时凭证。
• 可选：调整凭证优先级：如果实例上同时存在~/.aws/credentials文件，SDK默认会优先使用该文件内的密钥。若想让IAM角色凭证优先级更高，可在~/.aws/config文件中添加配置：

  [default]
  credential_source = Ec2InstanceMetadata
  

  这样SDK会优先从IAM角色获取凭证。

3. 配置角色后是否仍需提供密钥？ #

不需要。IAM角色会通过EC2实例元数据服务自动分发临时凭证，且这类凭证会自动轮换，SDK会自动获取并使用，完全无需手动提供长期密钥。

如果实例上还保留着~/.aws/credentials文件，SDK可能会优先使用其中的密钥（取决于凭证链顺序），但从安全角度建议删除该文件，完全依赖IAM角色的临时凭证——这能避免长期密钥泄露风险，也符合AWS最佳实践。

内容的提问来源于stack exchange，提问作者user2307172