Ruby中如何通过绑定IAM角色无密钥使用aws-sdk-s3访问S3存储桶

该需求可实现，分两种常用场景对应解决方案如下： #

场景1：访问具备公开读权限的S3资源 #

如果目标存储桶/对象已配置匿名读权限，只需初始化客户端时禁用签名校验即可，无需传入任何密钥：

require 'aws-sdk-s3'

# 初始化无签名客户端，适配公开资源访问
s3_client = Aws::S3::Client.new(
  region: '存储桶所属区域', # 示例值：'us-east-1'
  signer: nil # 直接禁用签名器，无需配置空AK/SK
)

# 测试读取公开对象
resp = s3_client.get_object(bucket: '公开桶名', key: '目标对象路径')
puts resp.body.read

如果需要使用Resource风格的调用方式，写法如下：

# 传入配置好的无签名客户端初始化Resource实例
s3_resource = Aws::S3::Resource.new(client: s3_client)

# 访问对象
obj = s3_resource.bucket('公开桶名').object('目标对象路径')
puts obj.get.body.read

注意：该场景仅支持公开资源的读操作，无法执行写入、删除、配置修改等操作。另外需注意SDK类名的正确写法为Aws::S3::Resource.new，命名空间间为两个冒号，单个冒号会触发语法错误。

场景2：运行环境自带AWS身份凭证 #

如果代码运行在AWS生态环境内（EC2实例、Lambda函数、EKS Pod、ECS任务等），且已为对应运行资源绑定了具备S3访问权限的IAM角色，aws-sdk-s3会自动从环境中获取身份凭证，无需你在代码中显式传入AK/SK：

require 'aws-sdk-s3'

# 无需传入任何密钥参数，SDK会自动按优先级查找可用身份源
# 查找顺序：环境变量 -> ~/.aws/credentials 配置文件 -> 云环境身份元数据接口
s3_resource = Aws::S3::Resource.new(region: '存储桶所属区域')

# 可执行IAM角色权限范围内的所有操作，包括私有资源读写
obj = s3_resource.bucket('私有桶名').object('目标对象路径')
puts obj.get.body.read

该方案安全性更高，完全避免了密钥硬编码泄露的风险。 #

常见异常排查 #

• 公开资源访问返回403：先确认存储桶的公开访问阻断设置已关闭，且桶策略/对象ACL允许匿名用户执行读操作
• 角色身份访问返回403：先确认IAM角色的权限策略包含目标S3资源的对应操作权限，且信任策略允许当前运行环境代入该角色

内容的提问来源于stack exchange，提问作者Saurav Kumar