Express应用连接DynamoDB线上表本地正常 部署至ECS(Fargate)报无法连接实例元数据服务错误

报错的直接来源 #

这个Unable to connect to instance metadata service报错，本质是你用的@aws-sdk/client-dynamodb v3版本，在运行时找不到任何有效AWS凭证，最终尝试连接EC2/ECS实例元数据服务拉取临时凭证失败抛出的。
仔细看你的代码就能发现配置错位：

• 你顶部通过AWS.config.update硬编码的AK/SK，是给旧版aws-sdk v2用的，和你实际调用DynamoDB用的v3 SDK完全不共享配置上下文；而且你require的旧版aws-sdk包全程没有被调用，属于冗余依赖
• 初始化DynamoDBClient的时候，你只传了region参数，没有注入任何凭证信息，SDK找不到凭证就会自动按顺序遍历所有内置凭证源

逐场景排查修复 #

• 首先排除代码层配置问题：不要依赖跨SDK的配置同步，直接在初始化DynamoDB客户端的时候把凭证参数补上

  const dbclient = new DynamoDBClient({
    region: REGION,
    credentials: {
      accessKeyId: "你的有效AK",
      secretAccessKey: "你的有效SK"
    }
  });
  

  把这段代码替换原来的客户端初始化逻辑，重新部署到Fargate验证：如果接口恢复正常，说明之前就是凭证没被SDK读到的问题。
• 生产环境不要把AK/SK硬编码到代码里，给你的Fargate任务绑定对应权限的IAM任务角色，按规范配置凭证链路：
  • 确认IAM角色关联了目标DynamoDB表的读写权限策略
  • 检查Fargate任务的平台版本，1.4.0及以上版本才支持正确的元数据凭证注入，版本过低的话会导致SDK拿不到凭证，错误尝试连接EC2的元数据服务地址
  • 检查任务的安全组出站规则，不要拦截对Fargate元数据服务地址169.254.170.2的访问流量
  • 确认任务环境变量里存在核心标识AWS_CONTAINER_CREDENTIALS_RELATIVE_URI配置项，这是Fargate给容器注入临时凭证地址的关键参数，如果这个变量缺失，SDK就会找不到正确的凭证获取入口

快速诊断小技巧 #

• 可以临时加一个debug接口，直接打印SDK的凭证加载状态，快速定位问题：

  app.get('/debug/cred', async (req, res) => {
    const { fromNodeProviderChain } = require("@aws-sdk/credential-providers");
    try {
      const cred = await fromNodeProviderChain()();
      res.send({
        success: true,
        hasValidKey: !!cred.accessKeyId
      })
    } catch (e) {
      res.send({success: false, err: e.toString()})
    }
  })
  

• 调用这个debug接口，如果返回的就是连接元数据服务失败的错误，就顺着前面的配置、网络、环境变量项逐一核对即可。

内容的提问来源于stack exchange，提问作者Lewis Smith