如何强制boto3仅从EC2实例配置文件或元数据服务获取凭证？

好问题！要让boto3跳过其他凭证来源（比如本地~/.aws/credentials文件、环境变量等），只从EC2实例的元数据服务或关联的IAM实例配置文件取凭证，有几种比手动请求元数据API更可靠的方案，我来给你详细说说：

方案1：代码层面限定凭证提供者（最优解） #

boto3底层依赖botocore来处理凭证获取，我们可以直接构造一个仅包含实例元数据服务的凭证提供者，彻底绕过其他来源。这种方式不仅简洁，还能复用botocore内置的重试、超时和凭证自动刷新逻辑，比手动写HTTP请求靠谱多了。

代码示例：

import boto3
from botocore.credentials import InstanceMetadataProvider, InstanceMetadataFetcher

# 创建仅依赖实例元数据的凭证提供者
metadata_provider = InstanceMetadataProvider(
    iam_role_fetcher=InstanceMetadataFetcher(timeout=10, num_attempts=2)
)
# 加载凭证
credentials = metadata_provider.load()

# 用获取到的凭证初始化boto3会话
session = boto3.Session(
    aws_access_key_id=credentials.access_key,
    aws_secret_access_key=credentials.secret_key,
    aws_session_token=credentials.token
)

# 接下来就可以用这个会话调用AWS服务了，比如操作S3
s3_client = session.client('s3')
response = s3_client.list_buckets()

方案2：通过环境变量/配置文件限制（适合无代码修改场景） #

如果不想改动代码，你可以通过环境变量或AWS配置文件来排除其他凭证来源：

• 环境变量方式：清空AWS_ACCESS_KEY_ID和AWS_SECRET_ACCESS_KEY，同时确保没有其他本地凭证文件（比如~/.aws/credentials）存在。不过这种方式不够严谨，万一有其他隐性的凭证来源（比如容器环境变量）可能还是会被读取。
• 配置文件方式：在~/.aws/config中添加如下配置，强制禁用其他凭证获取方式：

[default]
credential_process = none
aws_access_key_id =
aws_secret_access_key =

之后boto3默认会使用这个配置，仅尝试从实例元数据服务获取凭证。

为什么不推荐手动拉取元数据？ #

你提到的手动请求元数据API的方法虽然能拿到凭证，但存在几个明显的劣势：

1. 你需要自己处理重试、超时、角色名称解析（比如先请求角色列表再拿凭证）等细节，而botocore已经封装了这些稳定的逻辑。
2. 临时凭证过期后，手动方式需要自己重新拉取，而用botocore提供者创建的会话会自动刷新凭证。
3. 如果实例没有关联IAM角色，手动请求会直接报错，而botocore会优雅抛出明确的异常，便于排查问题。

最后确认：实例已关联IAM角色 #

别忘了确认你的EC2实例已经正确关联了IAM实例配置文件（也就是绑定了IAM角色），否则元数据服务不会返回有效凭证。你可以在实例上执行以下命令验证：

curl http://169.254.169.254/latest/meta-data/iam/security-credentials/

如果返回你的IAM角色名称，说明配置没问题；如果返回空或报错，需要先给实例关联正确的IAM角色。

内容的提问来源于stack exchange，提问作者Vivek Thomas