VPC内EC2实例上的Laravel应用如何免密钥访问SQS？

数据老陈

2026-5-14

没问题！这正是AWS IAM角色的典型应用场景——给你的EC2实例绑定一个具有SQS访问权限的IAM角色，Laravel就能自动通过实例的元数据服务获取临时凭证，完全不用硬编码访问密钥。咱们一步步来：

第一步：AWS 端配置（给EC2实例赋予SQS权限）

首先得在AWS这边给你的EC2实例配置好权限，这是核心前提：

创建IAM角色：
1. 打开AWS IAM控制台，创建一个新角色，选择「EC2」作为信任实体类型（因为要让EC2实例能扮演这个角色）。
2. 给这个角色附加一个自定义权限策略，策略里要包含你的Laravel应用需要的SQS操作，比如发送消息、接收消息、删除消息等。示例策略如下：
```
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "sqs:SendMessage",
                "sqs:ReceiveMessage",
                "sqs:DeleteMessage",
                "sqs:GetQueueAttributes"
            ],
            "Resource": "arn:aws:sqs:你的区域:你的AWS账户ID:你的队列名称"
        }
    ]
}
```
  记得把上面的区域、账户ID、队列名称替换成你自己的信息。
关联IAM角色到EC2实例：
如果你用的是已经运行的EC2实例，直接在EC2控制台选中实例，点击「操作」→「安全」→「修改IAM角色」，选择刚才创建的角色保存即可。如果是新实例，在启动的时候直接选择这个IAM角色就行。

第二步：Laravel 端配置

接下来调整Laravel的队列配置，去掉硬编码的密钥：

修改.env文件：
只需要保留队列连接类型、AWS区域和SQS队列信息，删掉AWS_ACCESS_KEY_ID和AWS_SECRET_ACCESS_KEY这两个变量（或者留空也可以）：
```
QUEUE_CONNECTION=sqs
AWS_DEFAULT_REGION=你的区域（比如us-east-1）
AWS_SQS_QUEUE=https://sqs.你的区域.amazonaws.com/你的账户ID/你的队列名称
```

调整config/queue.php配置：
确保sqs驱动的配置项里，key和secret依然引用环境变量（留空的话，AWS SDK会自动去实例元数据里取临时凭证），示例配置如下：

'sqs' => [
    'driver' => 'sqs',
    'key' => env('AWS_ACCESS_KEY_ID'),
    'secret' => env('AWS_SECRET_ACCESS_KEY'),
    'prefix' => env('AWS_SQS_PREFIX', 'https://sqs.你的区域.amazonaws.com/你的账户ID'),
    'queue' => env('AWS_SQS_QUEUE', '你的队列名称'),
    'suffix' => env('AWS_SQS_SUFFIX'),
    'region' => env('AWS_DEFAULT_REGION', 'us-east-1'),
],

额外注意事项

VPC内访问SQS的优化：
因为你的EC2在VPC里，推荐配置SQS的VPC端点（通过AWS VPC控制台创建），这样实例不用走公网就能访问SQS，既安全又能降低延迟。如果你的实例已经有公网访问能力（比如绑定了弹性IP或者通过NAT网关），这一步可以跳过，但VPC端点是更优方案。
验证权限是否生效：
可以在EC2实例上安装AWS CLI，然后执行aws sqs receive-message --queue-url 你的队列URL --region 你的区域测试，如果能正常返回结果（哪怕是空的消息列表），说明权限配置没问题。
Laravel版本兼容：
只要你的Laravel版本在5.5及以上，使用的aws/aws-sdk-php包会自动检测EC2实例的IAM角色并获取临时凭证，不需要额外配置。

内容的提问来源于stack exchange，提问作者astroanu