EC2实例使用instance_profile_credentials调用S3 API报无凭证错误如何排查

1. 实例元数据服务（IMDS）访问校验 #

实例角色凭证是从EC2的IMDS服务获取的，这是最常见的故障点：

• 检查实例IMDS版本兼容性：执行aws ec2 describe-instances --instance-ids <你的实例ID> --query "Reservations[*].Instances[*].MetadataOptions"查看HttpTokens参数，如果值为required说明实例强制使用IMDSv2，需要确认你使用的AWS SDK版本满足最低兼容要求，比如Ruby的aws-sdk-s3需≥1.94.0、Python的boto3需≥1.16.0，老版本SDK无法处理IMDSv2的鉴权逻辑，会拿不到凭证。
• 检查代理排除配置：你配置的proxy_uri默认会转发所有请求，必须在代码运行环境的NO_PROXY规则里手动加入169.254.169.254这个IMDS的内网地址，否则SDK会走代理访问IMDS，必然请求失败。AWS CLI默认会自动跳过IMDS地址走代理，但大部分SDK不会自动处理该规则，需要手动配置。

2. SDK凭证链配置校验 #

AWS SDK有固定的凭证优先级，上层配置异常会阻断实例角色凭证的获取逻辑：

• 检查无效环境变量：执行env | grep AWS_查看代码运行环境下是否设置了空值的AWS_ACCESS_KEY_ID、AWS_SECRET_ACCESS_KEY环境变量，环境变量的凭证优先级高于实例角色，如果存在无效的空值变量，SDK会直接终止凭证检索流程报缺失错误。
• 检查自定义凭证链配置：确认你是否手动修改过SDK的凭证提供器顺序，如果配置凭证链时没有把InstanceProfileCredentialsProvider加入提供器列表，SDK不会主动去IMDS获取实例角色凭证。

3. 运行环境差异校验 #

• 确认执行CLI的用户和运行代码的用户是否一致：比如用root用户测试CLI正常，但代码用普通用户运行，两类用户的代理配置、环境变量可能存在差异，可以切换到代码运行的相同用户下执行curl -v http://169.254.169.254/latest/meta-data/iam/security-credentials/，验证是否能正常返回绑定的实例角色名称。
• 如果代码运行在容器内，需要确认容器网络是否允许访问宿主机的IMDS地址，同时容器内的NO_PROXY规则也需要配置IMDS地址排除。

4. debug日志定位 #

在代码中开启AWS SDK的DEBUG级日志，可以直接看到SDK获取凭证的全流程：是没有走到实例角色凭证检索逻辑，还是请求IMDS时出现了超时/403/404错误，可直接缩小问题范围。

内容的提问来源于stack exchange，提问作者carfield