AWS JavaScript SDK V3是否存在等效的Credential Provider Chain凭证提供链？

AWS SDK for JavaScript v3 已经内置了等效于V2版本CredentialProviderChain的默认凭证提供链，默认即可覆盖你需要的本地共享INI文件读取、K8s环境WebIdentity角色假设场景，无需手动从零组装。

默认凭证链的检索优先级 #

默认会按照以下顺序依次尝试获取有效凭证：

• 读取系统环境变量中的AWS_ACCESS_KEY_ID、AWS_SECRET_ACCESS_KEY、AWS_SESSION_TOKEN相关凭证配置
• 读取本地共享INI凭证文件（默认路径为~/.aws/credentials），对应你需要的SharedIniFileCredential能力
• 读取WebIdentity相关配置完成角色假设，对应你需要的roleAssumerWithWebIdentity能力，完全兼容K8s的IRSA场景
• 尝试从EC2/ECS实例元数据服务获取绑定的实例角色凭证

基础使用方式 #

如果没有特殊的自定义需求，直接初始化SDK客户端即可，默认会自动走完整凭证链，自动适配本地开发环境和K8s运行环境：

// 以S3客户端为例，其他AWS服务客户端逻辑一致
import { S3Client, ListBucketsCommand } from "@aws-sdk/client-s3";

// 直接初始化，无需额外配置凭证相关参数
const s3Client = new S3Client({
  region: "你的AWS区域，例如ap-northeast-1"
});

// 调用接口时SDK会自动按顺序检索可用凭证
const getBuckets = async () => {
  const res = await s3Client.send(new ListBucketsCommand({}));
  console.log("Bucket列表：", res.Buckets);
};

getBuckets();

注意：K8s场景下如果使用IRSA方案，AWS_ROLE_ARN、AWS_WEB_IDENTITY_TOKEN_FILE两个环境变量会由K8s的WebIdentity准入控制器自动注入，无需你手动配置，默认凭证链可直接识别读取。

自定义凭证链（可选） #

如果默认的检索顺序或规则不符合你的需求，你可以显式组装自定义的凭证链：

import { S3Client } from "@aws-sdk/client-s3";
import { fromIni } from "@aws-sdk/credential-provider-ini";
import { fromWebToken } from "@aws-sdk/credential-provider-web-identity";

// 自定义凭证链逻辑：先尝试读取本地共享INI文件凭证，再尝试WebIdentity角色假设
const customCredentialProvider = async () => {
  const providers = [
    // 可指定读取的profile、自定义凭证文件路径等参数
    fromIni({ profile: "your-custom-profile" }),
    fromWebToken({
      roleArn: process.env.AWS_ROLE_ARN,
      webIdentityTokenFile: process.env.AWS_WEB_IDENTITY_TOKEN_FILE
    })
  ];
  for (const provider of providers) {
    try {
      return await provider();
    } catch {
      continue;
    }
  }
  throw new Error("无可用的AWS凭证");
};

// 初始化客户端时指定自定义凭证提供器
const s3Client = new S3Client({
  region: "ap-northeast-1",
  credentials: customCredentialProvider()
});

内容的提问来源于stack exchange，提问作者whiterook6