AWS ECS Windows容器计划任务以System身份运行时找不到AWS凭证问题咨询

安全阿岳

2026-10-29

问题根因

ECS Windows容器的任务IAM角色（即你看到的container-role）临时凭证，是ECS Agent直接注入到交互式登录的ContainerAdmin用户会话的用户级环境变量中，而非写入系统全局、System身份会话可读取的机器级环境变量。
通过Session Manager进入容器的交互操作，本质是启动了一个以ContainerAdmin身份运行的活跃用户会话，自然可以读取到ECS Agent注入的三类核心环境变量：AWS_ACCESS_KEY_ID、AWS_SECRET_ACCESS_KEY、AWS_SESSION_TOKEN，以及标识本地凭证拉取地址的ECS_CONTAINER_CREDENTIALS_RELATIVE_URI，因此AWS CLI可以正常识别凭证执行S3操作。
当计划任务切换为System身份运行时，会话使用独立的System上下文环境变量集，完全不包含上述注入的容器角色凭证信息，因此AWS CLI查询凭证时返回空值，S3操作报无有效凭证的错误。
你观察到的ContainerAdmin身份计划任务不触发的问题，本质是Windows计划任务的默认运行规则：若创建任务时未指定「无论用户是否登录都要运行」的配置，任务只会在对应用户存在活跃登录会话时才会触发；若使用/NP参数（不存储密码）创建任务，会默认强制关联为仅登录状态下运行，无法满足非交互后台运行的需求。
需要明确的是，不存在某类计划任务的配置选项，可以让System身份自动读取到仅注入ContainerAdmin用户会话的容器角色凭证，这是ECS Windows容器的凭证注入机制决定的。

可行的解决方案

按适配非交互运行的优先级从高到低排列：

方案1：脚本内置本地凭证拉取逻辑，适配System身份运行
1. 先通过Session Manager进入的ContainerAdmin交互会话，执行PowerShell命令获取ECS_CONTAINER_CREDENTIALS_RELATIVE_URI的固定值（同一容器实例的该值不会发生变化）：
```
$env:ECS_CONTAINER_CREDENTIALS_RELATIVE_URI
```
2. 在你原有的PowerShell S3操作脚本开头，新增固定拉取ECS本地凭证接口的逻辑，跳过对系统自动注入环境变量的依赖：
```
# 拼接ECS本地凭证接口地址，替换为你实际查到的URI值
$credEndpoint = "http://169.254.170.2" + "你实际查到的ECS_CONTAINER_CREDENTIALS_RELATIVE_URI值"
# 实时拉取最新的临时IAM凭证
$latestCreds = Invoke-RestMethod -Uri $credEndpoint
# 将凭证写入当前脚本会话的环境变量
$env:AWS_ACCESS_KEY_ID = $latestCreds.AccessKeyId
$env:AWS_SECRET_ACCESS_KEY = $latestCreds.SecretAccessKey
$env:AWS_SESSION_TOKEN = $latestCreds.Token
```
3. 后续接你原有的S3操作逻辑即可。该方案下，不管计划任务是用System还是其他本地身份运行，都能实时获取到有效的容器角色凭证，不需要存储用户密码、不需要手动同步过期凭证，可完全满足无登录后台运行的要求。
方案2：正确配置ContainerAdmin身份的计划任务，实现非登录触发
1. 如果你更倾向于用ContainerAdmin身份运行任务，创建计划任务时不要保留默认的「只在用户登录时运行」选项，而是勾选「不管用户是否登录都要运行」，该配置下任务不需要依赖用户的活跃登录会话即可触发。
2. 若需要完全非交互的命令行部署，可通过schtasks命令传入ContainerAdmin的账号密码完成配置，无需手动交互输入：
```
schtasks /create /tn "定时S3操作任务" /tr "powershell.exe -ExecutionPolicy Bypass -File C:\scripts\your-s3-script.ps1" /sc daily /st 03:00 /ru ".\ContainerAdmin" /rp "你预先设置的ContainerAdmin固定密码" /rl highest /f
```
3. 注意：若ContainerAdmin密码是容器启动时随机生成的，需要在容器启动配置中设置固定密码，避免后续任务因密码变更失效。
方案3：手动注入已有凭证适配System身份（临时应急方案）
如果你需要快速验证System身份的运行逻辑，可以先在ContainerAdmin会话中查询当前的几个AWS凭证环境变量值，在计划任务启动的PowerShell命令开头，手动将这些值赋值给System会话的环境变量，再执行脚本。该方案的缺陷是ECS临时凭证有有效期，需要定期同步最新凭证，否则任务会因凭证过期失败，仅适合短期临时使用。

内容的提问来源于stack exchange，提问作者watdo