为什么我需要硬编码凭证才能使用 javascript SDK 连接到 AWS？

Question

我在这里问过this other question，这让我相信，默认情况下，JavaScript AWS 开发工具包会在您的环境中的许多地方查找凭证，而您无需执行任何操作。这里列出了它检查的位置顺序：https://docs.aws.amazon.com/sdk-for-javascript/v2/developer-guide/setting-credentials-node.html

我有一些连接到 AWS Athena 的工作代码。如果我手动硬编码凭据，我只能让它工作，这似乎与上面的文档相矛盾。这是我的代码：

export const getAthena = (): AWS.Athena => {
    if (process.env["LOCAL_MODE"] === "true") {
        const awsCredentials = {
            region: "us-east-1",
            accessKeyId: awsCredentialsParser("aws_access_key_id"),
            secretAccessKey: awsCredentialsParser("aws_secret_access_key"),
            sessionKey: awsCredentialsParser("aws_session_token")
        };
        AWS.config.update(awsCredentials);
        let credential = new AWS.Credentials({
            accessKeyId: awsCredentials.accessKeyId,
            secretAccessKey: awsCredentials.secretAccessKey,
            sessionToken: awsCredentials.sessionKey
        });
        return new AWS.Athena({credentials: credential, signatureCache: false});
    } else {
        const awsCredentials1 = {
            region: "us-east-1",
            accessKeyId: undefined,
            secretAccessKey: undefined,
            sessionKey: undefined
        };
        AWS.config.update(awsCredentials1);
        return new AWS.Athena({credentials: undefined, signatureCache: false});
    }
};

export const awsCredentialsParser = (key: string): string => {
    const homeDirectory = os.homedir();
    const awsCredentials = fs.readFileSync(homeDirectory + "/.aws/credentials", {encoding: "UTF8"});
    const awsCredentialLines = awsCredentials.split("\n");
    const lineThatStartsWithKey = awsCredentialLines.filter((line) => line.startsWith(key))[0];
    return lineThatStartsWithKey.split(" = ")[1];
};

如您所见，我使用了一个名为“LOCAL_MODE”的环境变量。如果设置为 true，它会从我的共享凭证文件中获取凭证。然而，如果您不在本地模式下，它会将所有凭证设置为未定义并依赖 IAM 角色。 文档不是说我不必这样做吗？

但是，如果我将代码更改为此，任何对 athena 的调用都会挂起，直到超时：

export const getAthena = (): AWS.Athena => {
    return new AWS.Athena();
};

如果我将超时设置为一个非常大的数字，它最终会让我知道我的凭据无效。

根据文档，第二个示例不应该像第一个示例一样查找凭据吗？为什么第二个示例挂起？我不想写上面的代码。如何让我的代码像示例一样工作？

1. 我是否在第二个示例中以错误的方式创建了 AWS.Athena()？
2. 如何解决此问题以找出它挂起的原因？
3. 根据文档，底部示例不应该与顶部执行相同的操作吗？

Answer 1

所以经过调查，这似乎是因为您的.aws/credentials 文件中没有[default] 配置文件。这是一个特殊的配置文件。我假设客户在找不到时使用空字符串（或空值或其他东西）。老实说，我觉得这很有趣（应该抛出异常）。

无论如何，要解决此问题，要么将您必须的配置文件重命名为 [default]，要么在您的代码中设置不同的配置文件。以下是相关文档：

https://docs.aws.amazon.com/sdk-for-javascript/v2/developer-guide/loading-node-credentials-shared.html

我建议使用AWS_PROFILE 环境变量。将使您的代码更具可移植性。

Answer 2

如果您使用的是 IAM 角色，则无需显式提供任何凭证，无论是否为空：

const AWS = require('aws-sdk');
const athena = new AWS.Athena();
const params = { ... };
const rc = await athena.startQueryExecution(params).promise();

事实上，这也适用于通过本地环境变量或凭据/配置文件提供的凭据。 SDK 会一一尝试chain of credentials providers。