如何在Elastic Beanstalk中配置AWS SDK的'myprofile'凭证？

Great question! When running on Elastic Beanstalk, you can't rely on the local ~/.aws/credentials file that your myprofile uses—here's how to properly configure credentials for your Express app to interact with SNS:

推荐方案：使用IAM实例角色（最安全、易维护） #

Elastic Beanstalk的EC2实例可以关联一个IAM角色，AWS SDK会自动从实例元数据获取凭证，不需要你手动配置任何凭证信息。这是AWS官方推荐的最佳实践，因为角色凭证会自动轮换，避免了硬编码凭证的安全风险。

步骤： #

1. 创建IAM角色：

   • 登录AWS控制台，进入IAM服务，创建一个新角色，选择"EC2"作为信任实体。
   • 给这个角色添加允许SNS发布的权限（比如AmazonSNSFullAccess，或者更精细的权限策略只允许Publish操作到特定主题）。
   • 给角色命名，比如EB-SNS-Publish-Role。

2. 关联角色到Elastic Beanstalk环境：

   • 进入Elastic Beanstalk控制台，找到你的应用环境。
   • 转到配置 > 实例，在"IAM实例角色"下拉菜单中选择你刚才创建的角色，保存配置。Elastic Beanstalk会自动更新所有EC2实例的角色关联。

3. 简化你的代码：
   删掉手动设置凭证的代码，AWS SDK会自动使用实例角色的凭证。修改后的代码如下：

   router.post('/publish', async (req, res) => { 
     var AWS = require('aws-sdk') 
     AWS.config.update({region: 'us-east-2'}) 
     // 不需要手动设置credentials了！SDK会自动从实例角色获取
     var sns = new AWS.SNS()
     // ...后续的SNS发布逻辑
   })
   

备选方案：使用环境变量（不推荐，仅用于特殊场景） #

如果你因为某些原因必须使用特定的AWS凭证（比如角色权限不够），可以通过Elastic Beanstalk的环境变量来传递，而不是硬编码到代码里。

步骤： #

1. 在Elastic Beanstalk控制台设置环境变量：

   • 进入你的EB环境，转到配置 > 软件，在"环境属性"部分添加两个变量：
     • AWS_ACCESS_KEY_ID：对应你本地myprofile的access key
     • AWS_SECRET_ACCESS_KEY：对应你本地myprofile的secret key
   • 保存配置，环境会自动重启应用。

2. 修改代码（可选）：
   AWS SDK会自动读取这两个环境变量，所以同样可以删掉手动设置SharedIniFileCredentials的代码，和上面的简化代码一致。如果你想显式指定，也可以这样写：

   router.post('/publish', async (req, res) => { 
     var AWS = require('aws-sdk') 
     AWS.config.update({
       region: 'us-east-2',
       accessKeyId: process.env.AWS_ACCESS_KEY_ID,
       secretAccessKey: process.env.AWS_SECRET_ACCESS_KEY
     })
     var sns = new AWS.SNS()
     // ...后续的SNS发布逻辑
   })
   

重要提醒： #

• 永远不要把AWS凭证硬编码到代码里或者提交到版本控制系统，这会导致严重的安全风险。
• IAM实例角色是首选方案，因为它不需要你管理凭证，而且权限可以集中控制和调整。

内容的提问来源于stack exchange，提问作者Sam Luther