Windows Server 2012 R2下Ansible通过EC2 IAM角色下载S3文件报错

看起来你踩了一个很容易混淆的坑——Ansible的AWS模块（比如aws_s3）默认是在你的控制节点（运行Ansible的机器）上执行的，而不是在目标Windows EC2实例上！这就是为什么其他win_*模块正常，但S3模块报错的核心原因之一。结合你的场景（想借助Windows EC2实例的IAM角色访问S3），我给你几个可行的解决方案：

1. 先明确核心逻辑：IAM角色的凭证只能在EC2实例内部获取 #

EC2实例绑定的IAM角色，其临时凭证是通过实例元数据服务（169.254.169.254）提供的，只有实例内部的进程才能访问这些凭证。所以如果你的目标是让Windows实例自己从S3下载文件，不能用控制节点侧的aws_s3模块，得在Windows实例内部执行相关操作。

2. 方案一：用Windows上的AWS CLI下载（推荐） #

先在Windows Server 2012 R2上安装AWS CLI（可以通过Chocolatey或者官方安装包），然后用win_shell模块调用CLI，自动利用实例的IAM角色凭证：

- name: Test S3 download via AWS CLI on Windows
  hosts: windows
  tasks:
    - name: Download file from S3 to Windows
      win_shell: aws s3 cp s3://your-bucket-name/your-target-file C:\local\path\to\save\file.ext
      environment:
        AWS_EC2_METADATA_DISABLED: "false"  # 确保元数据服务可用（默认是开启的，保险起见加上）

3. 方案二：用Windows上的Python脚本下载 #

既然你已经在Windows上装了Python3和boto3，而且能正常import boto，可以写个简单的Python脚本，然后用Ansible传到Windows上执行：

第一步：创建本地脚本s3_download.py #

import boto3

# 初始化S3客户端，自动从实例元数据获取IAM角色凭证
s3_client = boto3.client('s3')

# 下载文件，替换成你的桶名、对象键和本地路径
s3_client.download_file(
    'your-bucket-name',
    'your-object-key',
    'C:\\local\\path\\to\\save\\file.ext'
)

第二步：编写Ansible Playbook调用脚本 #

- name: Test S3 download via Python on Windows
  hosts: windows
  tasks:
    - name: Copy download script to Windows instance
      win_copy:
        src: ./s3_download.py
        dest: C:\temp\s3_download.py

    - name: Execute the download script
      win_command: python C:\temp\s3_download.py

4. 排查验证步骤 #

如果还是有问题，可以先在Windows实例上手动测试，确认IAM角色和依赖正常：

1. 登录Windows实例，打开命令提示符，执行aws s3 ls s3://your-bucket-name，看是否能列出桶内容；
2. 打开Python3控制台，执行以下代码，看是否能成功获取S3对象：

import boto3
s3 = boto3.client('s3')
response = s3.get_object(Bucket='your-bucket-name', Key='your-object-key')
print(response['ContentLength'])

如果手动测试失败，那可能是：

• IAM角色没有配置s3:GetObject等必要权限；
• EC2实例的元数据服务被禁用；
• Windows上的boto3版本过旧，无法自动获取实例角色凭证。

内容的提问来源于stack exchange，提问作者Kerim Doruk Akıncı