EC2中Go程序调用aws cli报缺失AWS_SECRET_ACCESS_KEY问题

架构老林

2026-8-26

问题根因

这个问题和运行用户是否一致没有直接关系，核心触发点是AWS CLI的凭证加载链逻辑，以及Go程序子进程的环境变量继承机制：

AWS CLI加载凭证是按固定优先级顺序校验的，只要高优先级的凭证源检测到存在部分配置但不完整，就会直接抛出错误，不会自动降级到低优先级的凭证源。环境变量的凭证加载优先级远高于EC2实例元数据服务（IMDS，也就是实例绑定IAM角色时获取临时凭证的服务）。
SSH登录时执行命令正常，是因为交互式登录shell加载完所有用户配置后，环境里没有任何AWS_开头的凭证相关变量，CLI在环境变量环节检测不到任何AWS凭证配置，才会顺次向下查找，最终走到IMDS拿到IAM角色的临时凭证完成鉴权。
Go程序调用报错的直接原因：exec.Command启动的bash子进程默认会完整继承Go主进程的所有环境变量。Go进程运行环境里一定存在部分AWS凭证相关变量（比如仅设置了AWS_ACCESS_KEY_ID、AWS_SESSION_TOKEN其中一两个，缺失AWS_SECRET_ACCESS_KEY），CLI扫到这些残缺配置后，直接判定从环境变量读取凭证，发现字段不全就抛出对应错误，根本不会执行到IMDS鉴权的步骤。

哪怕运行用户和SSH登录用户完全一致，只要Go程序的启动环境和SSH拿到的交互式shell环境不是同一路径（比如Go程序是systemd/supervisor托管启动、从其他非登录shell会话启动、代码里主动设置过部分AWS环境变量），两边的环境变量就可能存在差异，和用户身份无关。

排查与解决方法

第一步先定位残缺变量来源：在Go代码里加一段调试逻辑，打印进程内所有AWS相关的环境变量，就能找到是哪几个变量导致的问题

import (
    "fmt"
    "os"
    "strings"
)

// 在调用aws命令前加这段调试
for _, envItem := range os.Environ() {
    if strings.HasPrefix(envItem, "AWS_") {
        fmt.Println("检测到继承的AWS环境变量:", envItem)
    }
}

根治方案：定位到残缺AWS环境变量的来源（比如进程管理器配置里写了一半的凭证、父进程带的无效变量），删除这些无效配置，保证Go进程环境里没有残缺的AWS凭证参数，CLI就能自动走IMDS拿到IAM角色凭证。

临时兼容方案：如果暂时找不到变量来源，可以在构造exec命令时主动过滤掉传给子进程的AWS相关环境变量，避免残缺配置干扰CLI的凭证加载逻辑：

cmd := exec.Command("bash", "-c", "aws s3 ls ....")
var cleanEnv []string
// 保留除AWS_开头外的所有原有环境变量
for _, envItem := range os.Environ() {
    if !strings.HasPrefix(envItem, "AWS_") {
        cleanEnv = append(cleanEnv, envItem)
    }
}
cmd.Env = cleanEnv
// 后续再执行cmd.Run()等操作

注意：不要为了兼容手动给Go进程补全缺失的AWS_SECRET_ACCESS_KEY，实例IAM角色的临时凭证是自动轮换的，硬编码凭证会过期失效，遵循默认的IMDS鉴权逻辑才是正确做法。

内容的提问来源于stack exchange，提问作者Pavel