非EC2机器如何通过IAM角色认证AWS服务（.NET Framework 4.8场景）

前置依赖检查 #

首先确认你的项目依赖的NuGet包符合版本要求：

• AWSSDK.Core 版本 ≥ 3.7.100
• AWSSDK.SQS 版本和AWSSDK.Core版本保持完全一致，避免依赖冲突

配置调整（两种部署场景） #

场景1：服务部署在AWS EC2/ECS/EKS等AWS托管资源上 #

这种场景不需要保留任何长期Access Key/Secret Key，直接利用AWS资源绑定的IAM角色完成认证：

• 给部署服务的EC2实例（或ECS任务角色、EKS服务账户）绑定基础IAM角色，该角色需要添加sts:AssumeRole权限，允许切换到你配置文件中指定的目标role_arn。
• 你当前的配置文件内容已经符合要求，只需确认配置文件存放路径正确：
  • 如果使用默认路径，Windows服务运行账号的.aws目录路径为：普通用户是C:\Users\<用户名>\.aws\config，Local System/Network Service系统账号是C:\Windows\System32\config\systemprofile\.aws\config
  • 如果使用appSettings.AWSProfilesLocation指定自定义路径，确保服务运行账号对该路径有读取权限
• 确认目标角色的信任策略中，已经允许上述基础IAM角色执行AssumeRole操作。

场景2：服务部署在非AWS本地服务器/第三方云环境 #

这种场景无法直接使用AWS实例元数据获取基础凭证，推荐使用AWS IAM Identity Center（原SSO）生成临时源凭证：

• 在AWS IAM Identity Center中配置有权限Assume目标角色的用户，在本地服务器通过AWS CLI完成SSO登录，生成临时凭证写入.aws/config文件。
• 在你现有profile配置中添加source_profile = <你的SSO profile名称>字段，关联SSO生成的源凭证配置。

代码调整 #

你现有的代码逻辑不需要大幅修改，仅需要补充空值判断和异常捕获即可，优化后的代码参考：

var credFile = new SharedCredentialsFile(appSettings.AWSProfilesLocation);
if (!credFile.TryGetProfile(appSettings.AWSProfile, out var credProfile))
{
    // 抛出找不到配置的异常，或打印错误日志
    throw new InvalidOperationException($"无法找到指定的AWS配置文件：{appSettings.AWSProfile}");
}

AWSCredentials aWSCredentials = AWSCredentialsFactory.GetAWSCredentials(credProfile, credFile);
// 生成的AWSCredentials会自动处理临时凭证过期刷新，不需要手动维护
_amazonSqs = new AmazonSQSClient(aWSCredentials, RegionEndpoint.USEast1);

常见问题排查 #

• 提示没有AssumeRole权限：检查目标角色的信任策略，是否允许源角色/SSO用户执行AssumeRole操作。
• 提示找不到配置文件：打印appSettings.AWSProfilesLocation的路径值，确认路径存在且服务运行账号有读取权限。
• 本地调试正常、部署后报错：优先检查服务运行账号的权限，以及系统账号对应的.aws目录下是否有配置文件。

内容的提问来源于stack exchange，提问作者Jasmin