如何实现本地机器、EC2实例与SQS的身份认证（AWS SDK v2）

核心疑问回复 #

• EC2实例访问SQS必须配置对应IAM角色：你之前用InstanceProfileCredentialsProvider认证失败，核心原因就是没有完成角色权限配置。操作步骤为：新建IAM角色，信任实体选择EC2服务，为角色附加SQS相关操作权限（可按需选择全量权限或自定义最小权限策略），再将该角色绑定到你的EC2实例上即可。
• 你拼接凭证提供器的代码逻辑错误：SqsClient构造器重复调用credentialsProvider方法会覆盖之前的配置，不会按顺序 fallback 适配不同环境，你需要用AWS SDK v2内置的CredentialsProviderChain实现「本地优先用配置文件、EC2环境自动用实例角色」的兼容逻辑。

正确实现代码 #

import software.amazon.awssdk.auth.credentials.CredentialsProviderChain;
import software.amazon.awssdk.auth.credentials.InstanceProfileCredentialsProvider;
import software.amazon.awssdk.auth.credentials.ProfileCredentialsProvider;
import software.amazon.awssdk.regions.Region;
import software.amazon.awssdk.services.sqs.SqsClient;

// 按优先级排列凭证提供器：先匹配本地配置文件的my-profile，匹配失败再走EC2实例角色凭证
CredentialsProvider credentialsProvider = CredentialsProviderChain.builder()
        .addCredentialsProvider(ProfileCredentialsProvider.builder().profileName("my-profile").build())
        .addCredentialsProvider(InstanceProfileCredentialsProvider.builder().build())
        .build();

SqsClient sqsClient = SqsClient.builder()
        .credentialsProvider(credentialsProvider)
        .region(Region.US_WEST_2)
        .build();

额外注意事项 #

• 权限配置遵循最小化原则：不要直接给角色授予全量SQS访问权限，按业务需要仅开放sqs:SendMessage、sqs:ReceiveMessage等必要操作，资源限定到你实际使用的SQS队列ARN即可。
• 如果EC2侧绑定角色后仍认证失败，可检查EC2安全组是否开放了HTTPS 443端口的出站规则，以及实例所在子网是否配置了公网路由或SQS的VPC端点。

内容的提问来源于stack exchange，提问作者Ilyas Patel