Ansible EC2模块如何使用IAM角色替代AWS访问密钥实现资源操作？

我来帮你搞定这个问题！其实Ansible的AWS模块（包括ec2、ec2_elb_lb这些）本身就支持通过EC2实例绑定的IAM角色自动获取权限，根本不用手动传aws_access_key和aws_secret_key参数，核心是利用AWS的凭证链机制，下面一步步给你讲清楚：

1. 先确保EC2实例的IAM角色有足够权限 #

首先得保证你给EC2实例附加的IAM角色，拥有操作目标AWS资源的权限——比如你要创建ELB，这个角色得有创建ELB的相关权限：

• 最简单的方式是给角色附加AWS托管策略，比如AmazonElasticLoadBalancingFullAccess（如果需要全权限的话）；
• 如果要更精细的权限，可以自定义IAM策略，包含elasticloadbalancing:CreateLoadBalancer、elasticloadbalancing:ConfigureHealthCheck等你需要的具体操作权限。

你可以在EC2实例上执行这条命令，验证实例是否能获取到IAM角色的临时凭证：

curl http://169.254.169.254/latest/meta-data/iam/security-credentials/<你的IAM角色名称>

返回结果里会包含临时的AccessKey、SecretKey和Token，说明角色已经成功绑定且能正常获取凭证。

2. 修改Ansible Playbook，移除密钥参数 #

直接把Playbook里的aws_access_key和aws_secret_key两行删掉就行！比如创建ELB的Playbook可以写成这样：

- name: 部署测试ELB
  hosts: localhost
  tasks:
    - name: 创建基础HTTP ELB
      ec2_elb_lb:
        name: my-demo-elb
        state: present
        region: ap-southeast-1
        zones:
          - ap-southeast-1a
          - ap-southeast-1b
        listeners:
          - protocol: http
            load_balancer_port: 80
            instance_port: 80
        health_check:
          ping_protocol: http
          ping_port: 80
          ping_path: "/"
          response_timeout: 5
          interval: 30
          unhealthy_threshold: 2
          healthy_threshold: 2

运行这个Playbook时，Ansible底层的boto3库会自动去实例的元数据服务获取IAM角色的临时凭证，然后用这个凭证去调用AWS API操作资源。

3. 理解AWS凭证链的优先级（避坑用） #

Ansible的AWS模块依赖boto3，而boto3会按照以下顺序查找凭证：

• 首先看环境变量AWS_ACCESS_KEY_ID和AWS_SECRET_ACCESS_KEY；
• 然后看本地的共享凭证文件（默认是~/.aws/credentials）；
• 最后才会去EC2实例的元数据服务获取IAM角色的临时凭证。

所以如果你的EC2实例上之前设置过环境变量或者本地凭证文件，会优先使用那些，导致IAM角色不生效。如果遇到这种情况，记得把环境变量清空，或者删除本地的凭证文件。

4. 常见问题排查 #

如果运行Playbook时遇到权限错误，可以按以下步骤排查：

• 检查IAM角色的权限：在IAM控制台里，确认角色的权限策略包含你要执行的所有操作（比如创建ELB的权限）；
• 确认EC2实例关联的角色正确：在EC2控制台的实例详情页，查看“安全”标签下的IAM角色是否是你配置的那个；
• 用aws-cli测试：在EC2实例上直接运行aws elbv2 create-load-balancer命令，如果能成功，说明角色权限没问题，那Ansible也应该能正常工作；
• 检查网络是否能访问元数据服务：确保实例的安全组或NACL没有禁止访问169.254.169.254这个地址（默认是允许的，除非手动做了限制）。

内容的提问来源于stack exchange，提问作者suanziliu