如何无需access key和secret key从DigitalOcean服务器访问AWS S3 bucket

所有方案均不依赖硬编码的长期静态密钥，全部通过动态临时凭证完成鉴权，生产环境可直接落地：

方案1：虚机场景首选 AWS IAM Roles Anywhere #

如果你的日志源是DigitalOcean普通Droplet虚机，这个方案适配性最好，不需要改造现有日志采集流程：

• 先在AWS侧完成基础配置：上传自签/内部CA根证书作为IAM Roles Anywhere的信任锚，新建专属IAM角色，仅授予目标S3桶的最小必要权限（通常是指定前缀下的s3:PutObject权限，按需加ListBucket权限即可，禁止开放删除、读取类权限），信任策略绑定到刚才的信任锚。
• 给每台需要上传日志的DO Droplet生成客户端证书，用之前上传的CA签发，证书里可以注入实例ID、业务标识等自定义属性，IAM策略可以直接基于这些属性做细粒度授权，比如限制单台机器只能往桶内对应实例ID的路径写日志。
• 在DO服务器上安装AWS官方的签名辅助工具，工具会自动持客户端证书向AWS STS申请临时凭证，凭证有效期可在15分钟到12小时之间自定义，到期自动续期，全程不需要手动维护，凭证仅存在于进程内存中，不会落地到磁盘配置文件。
• 日志采集端直接用成熟组件即可，比如Fluent Bit、Vector，配置S3输出时把凭证源设置为外部进程模式，指向签名辅助工具的凭证输出命令，不需要填写任何静态AK/SK，就能实现日志实时生成、实时分片上传到S3，组件自带的断点续传、本地缓存能力可以避免网络波动导致的日志丢失。

方案2：DOKS托管K8s场景首选 OIDC身份联邦 #

如果你的业务跑在DigitalOcean托管K8s集群上，连额外的证书代理都不需要装，配置更简单：

• 在AWS IAM中添加OIDC身份提供商，填入对应DOKS集群的OIDC发行者地址，新建专属S3写入角色，信任策略限定只有集群内指定命名空间、指定服务账号的工作负载可以扮演该角色。
• 给部署在集群内的日志采集DaemonSet（比如Fluent Bit）绑定对应服务账号，Pod启动时AWS SDK会自动通过OIDC协议获取临时凭证，全程无硬编码密钥，日志采集后直接推送到目标S3桶即可。

落地必做的配置约束 #

• 所有IAM角色必须卡最小权限，绝对不能给S3全桶权限、删除权限，避免日志被篡改或误删；S3侧建议开启对象锁、服务端加密，满足合规要求。
• 日志采集端必须开启本地磁盘缓存，配置合理的重试策略，跨云网络波动时日志先暂存在本地，网络恢复后自动补传，保证日志不丢。
• 不要自行开发脚本实现凭证轮换、日志上传逻辑，直接用社区成熟的采集组件，减少故障概率。

以上方案全程不需要在DigitalOcean侧存储任何长期有效的AWS Access Key和Secret Key，所有鉴权凭证都是动态签发、自动轮换的，安全风险远低于静态密钥方案。

内容的提问来源于stack exchange，提问作者piyush chopde