Terraform部署Lambda绑定IAM角色后，Java代码如何调用实现S3访问

核心结论 #

你不需要在Java代码中显式调用Terraform创建的IAM角色，AWS SDK会自动读取Lambda运行环境注入的临时凭证完成授权。

原理说明 #

Lambda服务在运行你的函数代码前，会自动将你绑定的执行角色的临时访问密钥、密钥ID、会话令牌写入函数运行环境的内置变量中。AWS Java SDK自带的默认凭证提供链会按优先级自动检索可用的凭证源，已经包含了Lambda运行时的凭证读取逻辑，无需手动配置。

你现有代码的问题 #

你贴的代码中手动指定了InstanceProfileCredentialsProvider，这个提供器原本是为EC2实例的实例元数据服务设计的，虽然Lambda运行时兼容该接口的调用，但完全没有必要手动指定。

推荐写法 #

如果你用的是AWS SDK for Java v1（你当前代码使用的版本） #

最简单的写法直接调用默认客户端即可，会自动读取当前区域和凭证：

var s3Client = AmazonS3ClientBuilder.defaultClient();

如果需要显式指定区域，也不需要手动传入凭证配置：

var s3Client = AmazonS3ClientBuilder.standard()
        .withRegion("ap-southeast-2")
        .build();

如果你后续升级到AWS SDK for Java v2 #

写法逻辑一致，同样不需要手动配置凭证：

S3Client s3Client = S3Client.builder()
        .region(Region.AP_SOUTHEAST_2)
        .build();

额外验证事项 #

你只需要在Terraform侧保证两点配置正确即可，代码侧不需要做额外调整：

• Lambda的execution_role_arn参数正确绑定了你创建的具备S3权限的IAM角色
• 该IAM角色的信任策略允许lambda.amazonaws.com服务代入角色，同时权限策略包含对应S3桶的操作权限（比如s3:PutObject）

内容的提问来源于stack exchange，提问作者sinsanarya