R语言Arrow如何使用AWS临时凭证/配置文件完成S3访问认证？

Arrow的S3客户端底层基于AWS C++ SDK实现，本身原生支持STS临时凭证（包括Okta签发的带会话Token的凭证），你遇到的AWS Error [code 15]: No response body.报错基本是参数传递方式不对或者配置冲突导致，按下面的方法操作即可：

方案1：显式传入认证参数（最稳定，优先推荐） #

不要仅依赖全局环境变量隐式传参，旧版本Arrow对环境变量中Session Token的读取存在优先级问题，直接在初始化S3文件系统实例时明确传入所有认证参数即可，注意不需要传入AWS_SECURITY_TOKEN（该参数是旧版SDK遗留兼容变量，Arrow不会识别，传入反而可能触发参数冲突）：

library(arrow)

# 初始化S3文件系统实例，所有参数显式传入
s3 <- S3FileSystem$create(
  access_key = "替换为你的AWS_ACCESS_KEY_ID",
  secret_key = "替换为你的AWS_SECRET_ACCESS_KEY",
  session_token = "替换为你的AWS_SESSION_TOKEN",
  region = "us-east-1"
)

# 验证连接：先列出目标桶路径下的文件，能正常返回说明认证通过
s3$ls("bucket/")
# 读取目标parquet文件
read_parquet(s3$path("bucket/file.extension"))

方案2：直接读取本地AWS配置文件 #

如果你是通过Okta CLI已经把凭证写入本地~/.aws/credentials文件的对应配置段，不需要手动复制三个凭证参数，直接在初始化时指定profile名称即可，该方法要求Arrow版本≥8.0.0：

library(arrow)

s3 <- S3FileSystem$create(
  profile = "替换为你Okta生成凭证对应的profile名称",
  region = "us-east-1"
)

read_parquet(s3$path("bucket/file.extension"))

注意：仅设置AWS_DEFAULT_PROFILE环境变量在部分Arrow版本中不会生效，必须在初始化S3实例时显式指定profile参数。

常见报错排查点 #

如果按上面配置仍然返回code 15错误，逐一检查以下项：

• 确认Okta签发的临时凭证没有过期，这类STS临时凭证默认有效期通常为1~12小时，过期后会返回空响应
• 不要在S3文件路径后拼接?region=xxx形式的参数，所有配置统一在S3FileSystem初始化时传入，路径拼参在新版本Arrow中容易出现参数解析错误，导致请求发往错误端点
• 如果你在企业内网环境，需要在S3FileSystem初始化时传入代理配置：proxy_options = list(scheme = "http", host = "代理地址", port = 代理端口)，未正确配置代理会导致无法连接S3服务端
• 确认你使用的账号对目标parquet文件有s3:GetObject权限，权限不足也可能返回该类无响应错误

内容的提问来源于stack exchange，提问作者Ramón J Romero y Vigil