EC2实例执行curl请求未自动携带关联实例配置文件凭证如何解决

原生curl没有内置AWS SDK的认证处理逻辑，不会自动完成两个必要操作：

• 不会主动访问EC2实例元数据服务（IMDS，固定地址169.254.169.254）拉取实例配置文件对应的临时访问凭证
• 不会按照AWS强制要求的SigV4签名规范对请求做签名计算
  未携带凭证、未签名的请求发送到SNS服务端时，就会返回MissingAuthenticationToken错误。
  AWS CLI底层已经封装了完整的凭证检索（包括从实例元数据获取临时凭证）、请求签名逻辑，所以不需要手动传入认证参数就能正常调用接口。

优先推荐无额外复杂度的方案，不需要手动实现繁琐的签名逻辑：

方案1：借助现有AWS CLI生成签名请求 #

既然实例上已经安装并能正常运行AWS CLI，直接用它完成签名步骤，把签好名的请求传给curl执行即可，不需要自己拉凭证、算签名：

# 替换命令中的topic_arn为你实际的SNS主题ARN
aws sns publish \
  --topic-arn topic_arn \
  --message hello \
  --region us-west-2 \
  --output text \
  | curl -X POST \
    -H "Content-Type: application/x-www-form-urlencoded" \
    -d @- \
    https://sns.us-west-2.amazonaws.com/

如果不需要强制走curl传输，直接调用AWS CLI是稳定性最高的选择。

方案2：纯curl实现（无AWS CLI依赖） #

如果实例上不能使用AWS CLI，必须用原生curl调用，需要手动完成凭证拉取、SigV4签名全流程，步骤如下：

1. 从EC2元数据服务获取临时凭证
   首先查询绑定到实例的IAM角色名：

ROLE_NAME=$(curl -s http://169.254.169.254/latest/meta-data/iam/security-credentials/)

再通过角色名拉取临时凭证，解析出访问密钥ID、秘密访问密钥、会话令牌三个核心字段：

CREDENTIALS=$(curl -s http://169.254.169.254/latest/meta-data/iam/security-credentials/$ROLE_NAME)
ACCESS_KEY=$(echo $CREDENTIALS | sed 's/.*"AccessKeyId": "\([^"]*\)".*/\1/')
SECRET_KEY=$(echo $CREDENTIALS | sed 's/.*"SecretAccessKey": "\([^"]*\)".*/\1/')
SESSION_TOKEN=$(echo $CREDENTIALS | sed 's/.*"Token": "\([^"]*\)".*/\1/')

2. 计算SigV4签名
   这一步需要严格按照AWS的签名规范，依次生成规范请求、待签名字符串、签名密钥、最终签名，过程涉及多步SHA256哈希、HMAC计算，需要搭配openssl等工具完成，纯shell实现代码量较大、容易因格式问题导致签名失败，且临时凭证过期后需要重新拉取凭证、重新计算签名，维护成本很高，非特殊场景不推荐使用。
3. 将签名结果、凭证信息、会话令牌按规范放到请求头或URL参数中，再发起curl请求。

注意：不要尝试直接把AccessKey、SessionToken直接拼到URL参数里跳过签名步骤，AWS会校验所有请求的签名完整性，未正确签名的请求会被直接拒绝。

内容的提问来源于stack exchange，提问作者tmp dev