NodeJS版AWS Lambda通过IAM Authentication调用Hashicorp Vault方法

和Python生态HVAC定位一致、维护活跃、可直接在Lambda环境下通过IAM认证连接Hashicorp Vault的成熟库有两个，完全可以替代你提到的2019年停更的node-vault-client：

• @hashicorp/vault-client：HashiCorp官方维护的TypeScript/JavaScript客户端，对新特性跟进最及时，原生内置AWS IAM认证逻辑，不需要手动实现AWS签名、凭证获取逻辑
• node-vault：社区长期维护的老牌JS客户端，迭代超过10年，生产落地案例极多，同样原生支持AWS IAM认证，踩坑资料覆盖全

你之前尝试的node-vault-client已经停止维护超过5年，没有跟进Vault后续版本的IAM认证接口变更，也不兼容Lambda运行时后来更新的元数据接口、临时凭证获取逻辑，不建议在生产环境使用。

Lambda环境IAM认证最小实现示例 #

以官方客户端为例，不需要手动传入AK/SK，客户端会自动读取Lambda运行时注入的临时凭证、自动生成STS GetCallerIdentity签名完成认证：

1. 安装依赖

npm install @hashicorp/vault-client

2. Lambda业务代码

import { VaultClient } from '@hashicorp/vault-client';
import { AwsIamAuth } from '@hashicorp/vault-client/auth';

// 放在handler外层复用，利用Lambda冷启动机制减少重复认证开销
let vaultClient = null;

const initVaultConnection = async () => {
  const client = new VaultClient({
    endpoint: process.env.VAULT_ADDR
  });

  const iamAuth = new AwsIamAuth({
    mountPath: 'aws', // 替换为你Vault集群上AWS认证方法的实际挂载路径，默认值为aws
    role: process.env.VAULT_AUTH_ROLE // 替换为Vault侧配置的、绑定Lambda执行角色的IAM角色名
  });

  await client.auth.login(iamAuth);
  // 客户端默认会自动处理认证token的续期，不需要手动写续期逻辑
  return client;
}

export const lambdaHandler = async (event) => {
  if (!vaultClient) {
    vaultClient = await initVaultConnection();
  }

  // 认证完成后即可调用对应接口读写密钥，以下为KV引擎读取示例
  const secretContent = await vaultClient.secrets.kv.read({
    mountPath: 'kv',
    path: 'service/database/credential'
  });

  return {
    statusCode: 200,
    body: JSON.stringify(secretContent.data)
  };
};

前置配置注意事项 #

• Lambda执行角色需要附加允许sts:GetCallerIdentity的权限，这是Vault IAM认证的唯一强制IAM权限要求
• Vault侧需要提前将Lambda执行角色的ARN配置到对应Vault IAM角色的信任实体列表中，否则会报认证权限拒绝错误
• 不要在handler函数内部初始化Vault客户端，否则每次请求触发冷启动都会重复走认证流程，既增加接口耗时，也容易触发Vault的接口限流

如果选择使用社区版node-vault，实现逻辑和上述示例基本一致，它的IAM认证模块同样会自动适配Lambda运行时环境，不需要额外编写签名逻辑。两个库的功能覆盖度和Python的HVAC基本对齐，除IAM认证外，全量支持KV引擎、动态密钥、PKI、审计等所有Vault核心能力。

内容的提问来源于stack exchange，提问作者mh377