如何在Lightsail实例中通过STS获取临时凭证且无需存储用户凭据

问题结论 #

AWS Lightsail 目前不支持原生的EC2实例IAM角色关联功能，无法像EC2那样直接给Lightsail实例ARN授权、从实例元数据服务直接获取对应角色的临时凭证，你预期的原生实现路径当前确实不存在。

无需持久化存储完整权限凭据的替代实现方案 #

方案1：STS AssumeRole + 最小权限长期凭据（最常用、成本最低） #

• 先创建一个权限范围最小的专用IAM用户，仅为该用户开放sts:AssumeRole调用权限，生成对应的访问密钥对
• 创建具备AWS资源访问权限的目标服务角色，将角色的信任策略配置为仅允许上述专用IAM用户扮演
• 在Lightsail实例内仅存储该专用IAM用户的密钥，每次需要访问AWS资源时，调用sts assume-role接口获取有效期可自定义（1~12小时）的临时凭证，临时凭证仅在内存中缓存使用，不写入本地环境变量或凭据文件
• 主流AWS SDK（包含PHP SDK）均内置AssumeRole凭证提供器，可自动处理临时凭证的过期刷新逻辑，无需手动维护生命周期

方案2：Secrets Manager 托管轮转凭据 #

• 将目标访问凭据存储在AWS Secrets Manager中，配置自动轮转策略，定期自动更新凭据
• 创建仅拥有对应Secrets Manager密钥读取权限的专用IAM用户，将该用户的密钥存储在Lightsail实例中
• 实例每次需要使用凭据时主动从Secrets Manager拉取最新值，内存缓存使用，不落地存储

方案3：OIDC身份提供商对接（无AWS长期凭据方案） #

• 若你有自建的统一身份管理系统，可以将其配置为AWS IAM OIDC身份提供商
• Lightsail实例启动后，先从自建身份系统获取短期有效的OIDC令牌，再用令牌调用STS接口兑换目标角色的临时凭证，全程不需要存储任何AWS长期凭据

安全建议 #

所有方案都需要严格遵循最小权限原则，专用IAM用户仅开放必要的操作权限，不要额外关联其他资源访问策略，降低密钥泄漏后的风险范围。

内容的提问来源于stack exchange，提问作者Leonard