Java中DefaultAWSCredentialsProviderChain在Boto3中的等价实现是什么

结论 #

boto3本身就内置了和Java DefaultAWSCredentialsProviderChain 完全对等的默认凭证查找链，不需要你手动分别实现EC2元数据取凭证、STS AssumeRole的逻辑，默认创建boto3.Session时就会自动按优先级匹配可用的凭证源，原生覆盖你提到的两种认证场景。

默认凭证链的查找顺序 #

boto3会按以下优先级依次查找可用凭证，找到可用项就直接停止继续查找：

• 创建Session/服务客户端时你手动显式传入的凭证参数
• 系统环境变量中配置的AWS_ACCESS_KEY_ID、AWS_SECRET_ACCESS_KEY等认证参数
• 本地~/.aws/credentials配置文件中存储的凭证
• ECS、EKS等容器环境的内置凭证源
• EC2实例元数据服务绑定的IAM角色凭证（对应你的第一种认证场景）
• 如果你在~/.aws/config中配置了role_arn、source_profile等跨账号角色配置，默认链会自动调用STS完成AssumeRole，拿到对应角色的凭证（对应你的第二种认证场景）

常用使用示例 #

基础场景（无自定义参数） #

不需要写任何额外的凭证获取逻辑，直接初始化Session即可，自动兼容两种认证场景：

import boto3

# 无需传入任何凭证参数，boto3自动按链查找可用凭证
session = boto3.Session()
# 直接用session初始化对应服务的客户端即可正常调用
s3_client = session.client('s3')

自定义EC2元数据服务参数 #

如果你需要和原代码一样自定义元数据服务的超时、重试次数，通过botocore.Config配置即可，不需要手动初始化InstanceMetadataProvider：

import boto3
from botocore.config import Config

custom_config = Config(
    metadata_service_timeout=1, # 超时时间单位为秒，对应原代码的1000ms
    metadata_service_num_attempts=2 # 重试次数和原代码配置一致
)
session = boto3.Session(config=custom_config)

动态指定AssumeRole的场景 #

如果你需要在代码中动态传入要扮演的角色ARN，而不是写在配置文件中，可以简单封装统一的Session生成方法，同时兼容两种场景：

import boto3
from typing import Optional

def get_unified_aws_session(
    assume_role_arn: Optional[str] = None,
    role_session_name: str = "default-session",
    duration_seconds: int = 3600
) -> boto3.Session:
    # 未指定要扮演的角色时，直接走默认凭证链，自动覆盖EC2实例元数据等场景
    if not assume_role_arn:
        return boto3.Session()
    
    # 指定角色时，用默认凭证链的权限调用STS AssumeRole
    sts_client = boto3.client('sts')
    resp = sts_client.assume_role(
        RoleArn=assume_role_arn,
        RoleSessionName=role_session_name,
        DurationSeconds=duration_seconds
    )
    creds = resp['Credentials']
    return boto3.Session(
        aws_access_key_id=creds['AccessKeyId'],
        aws_secret_access_key=creds['SecretAccessKey'],
        aws_session_token=creds['SessionToken']
    )

# 场景1：使用EC2实例元数据凭证
session = get_unified_aws_session()
# 场景2：使用STS AssumeRole获取的凭证
session = get_unified_aws_session(
    assume_role_arn="aws:arn:iam::account_id:role/role-that-allows-s3-access"
)

内容的提问来源于stack exchange，提问作者KeykoYume