从Lightsail实例访问DynamoDB遇权限报错如何解决

问题根因 #

权限报错核心原因是Lightsail实例默认绑定的AmazonLightsailInstanceRole内置角色没有DynamoDB访问权限，且Lightsail平台暂不支持直接为实例绑定自定义IAM角色，也不允许修改内置角色的权限策略。你本地CLI能正常访问是因为CLI读取了当前登录用户的凭证，而PHP SDK默认优先读取实例元数据提供的内置角色凭证，才会触发权限拒绝。

可行方案（按推荐优先级排序） #

方案1：复用AWS CLI凭证文件（最推荐，无需修改代码/配置） #

PHP SDK的默认凭证提供者链会自动读取当前运行用户home目录下.aws/credentials文件的凭证，只需要确保web服务运行用户有权限读取该文件即可：

• 先执行ps aux | grep php或者ps aux | grep httpd确认web服务（PHP运行时）的运行用户，通常为www-data、apache或者nginx
• 为运行用户创建专属的凭证存储目录：

mkdir -p /var/www/.aws
cp ~/.aws/credentials /var/www/.aws/
chown -R 运行用户:运行用户组 /var/www/.aws
chmod 600 /var/www/.aws/credentials

配置完成后重启web服务/PHP-FPM，你的原有SDK代码不需要做任何修改即可正常读取凭证访问DynamoDB。

方案2：通过web服务注入环境变量 #

如果确认已经在系统环境变量配置了AWS凭证，需要注意CLI的环境变量和web运行环境的变量是隔离的，需要单独为web服务注入凭证变量：

• 若使用Apache服务，在虚拟主机配置文件中添加以下配置：

SetEnv AWS_ACCESS_KEY_ID 你的访问密钥ID
SetEnv AWS_SECRET_ACCESS_KEY 你的秘密访问密钥

• 若使用Nginx+PHP-FPM架构，在PHP-FPM池配置文件（通常路径为/etc/php/[版本号]/fpm/pool.d/www.conf）中添加以下配置：

env[AWS_ACCESS_KEY_ID] = 你的访问密钥ID
env[AWS_SECRET_ACCESS_KEY] = 你的秘密访问密钥

配置完成后重启Apache/PHP-FPM服务即可，原有SDK代码无需修改。

方案3：外置独立配置文件加载凭证 #

将凭证存储在web根目录之外的独立配置文件中，业务代码读取该文件获取凭证，不属于硬编码业务代码的范畴：

1. 在非web可访问的路径下创建配置文件，例如/var/www/conf/aws_cred.php：

<?php
return [
    'key' => '你的访问密钥ID',
    'secret' => '你的秘密访问密钥'
];
?>

2. 修改SDK初始化代码，加载该配置文件：

$awsCred = require '/var/www/conf/aws_cred.php';
$sdk = new Sdk([
    'version' => 'latest',
    'region' => 'ap-southeast-2',
    'credentials' => $awsCred
]);

$db_client = $sdk->createDynamoDb();

安全注意事项 #

• 所有方案使用的IAM凭证都应遵循最小权限原则，仅授予指定DynamoDB表的必要操作权限，避免配置全资源全操作权限
• 凭证文件/配置文件的权限必须设置为仅运行web服务的用户可读，禁止设置777等全局可读权限
• 禁止将凭证配置文件放在web根目录下，避免被公网直接访问下载

内容的提问来源于stack exchange，提问作者ddlkkd