能否用IAM角色替代AWS密钥用于boto3？如何无凭证实现管理员权限

首先，先解释你遇到的初始错误：当你在~/.aws/credentials的[default]段只配置role_arn时，出现Partial credentials found in assume-role, missing: source_profile or credential_source是正常的——AWS的assume-role机制本身需要一个"源身份"来发起角色切换，要么关联一个存储了密钥的source_profile，要么指定credential_source（比如从EC2元数据、EKS服务账户等获取临时凭证），所以单独配置role_arn是不完整的。

接下来，针对你想要的无需长期AWS API凭证（access key/secret key）让boto3拥有管理员权限的需求，有两种可靠的方案：

1. 给EC2实例关联管理员权限的IAM角色（AWS官方推荐） #

这是最安全合规的无密钥方式，适用于在EC2实例上运行boto3脚本的场景：

• 配置步骤：在AWS控制台给你的EC2实例附加一个拥有管理员权限的IAM角色（比如内置的AdministratorAccess策略），确保实例的IAM角色信任关系允许EC2服务扮演该角色。
• 自动获取凭证：boto3会自动从EC2实例的元数据服务（IMDS）获取临时凭证，不需要手动修改~/.aws/credentials或~/.aws/config文件。
• 验证配置：你可以通过执行以下命令确认角色是否生效：

  curl http://169.254.169.254/latest/meta-data/iam/security-credentials/
  

  执行后会返回你关联的IAM角色名称，再访问该角色的凭证详情：

  curl http://169.254.169.254/latest/meta-data/iam/security-credentials/[你的角色名称]
  

  能看到包含AccessKeyId、SecretAccessKey、Token的临时凭证，说明配置成功，此时运行boto3脚本就会自动使用这些凭证，拥有管理员权限。
• 优势：临时凭证会自动轮换，无需手动管理，彻底避免了长期密钥泄露的风险。

2. 使用hologram项目实现本地无密钥访问 #

如果你需要在本地环境（非EC2实例）运行boto3脚本，又不想存储长期AWS密钥，可以使用hologram项目：

• 核心作用：hologram可以让本地应用模拟EC2实例的元数据服务，通过IAM角色获取临时凭证，不需要配置长期的access key和secret key。
• 使用方式：按照项目的文档配置，关联一个拥有管理员权限的IAM角色，启动hologram服务后，boto3会像在EC2上一样自动从本地模拟的元数据服务获取凭证，从而拥有管理员权限。
• 注意事项：确保hologram的配置正确，并且你的本地环境有足够的权限来发起角色切换（比如通过AWS SSO等身份验证方式对接）。

最后需要强调：避免使用长期AWS API凭证是最佳安全实践，上述两种方案都符合这个原则，其中EC2实例角色是AWS官方主推的生产环境方案，hologram则更适合本地开发测试场景。

内容的提问来源于stack exchange，提问作者kamal