node.js - 通过 NodeJS 在 ElasticBeanstalk 上使用 EC2 凭证

Question

我在 ElasticBeanstalk 上有一个小型 NodeJS 应用程序，它与 S3 和 DynamoDB 进行通信。目前，我将访问 key 和 key 设置为环境变量，并使用它们来更新 aws.config 对象。这是最佳实践吗？可以根据服务角色生成或使用凭据，因此我不再需要将凭据设置到环境变量中？因此，当我必须使用用户的凭据来访问 DynamoDB 或 S3 等任何服务时，我就拥有服务角色。

Answer 1

实例配置文件凭据比使用环境变量更好，因为实例配置文件凭据每隔几个小时自动轮换一次。由于您在问题中使用了术语“服务角色”，因此让我澄清一下服务角色和实例配置文件之间的区别。

实例配置文件角色与“服务角色”不同。服务角色是一种授予 beanstalk 服务代表您调用其他服务权限的角色。

实例配置文件凭据链接到您的 EC2 实例，并且只有您的 EC2 实例才能获取这些凭据。

从我之前关于主题 here 的答案中复制更多详细信息:

创建环境时，您可以选择传递 IamInstanceProfile(通常名为 aws-elasticbeanstalk-ec2-role)和服务角色(通常名为 aws-elasticbeantalk-service-role)。使用增强型应用程序运行状况监控时需要这两个角色。请注意，这两个角色需要一组完全不同的权限，您应该为每个角色使用不同的角色。您可以在 here 中找到服务角色和实例配置文件所需的权限列表。 .

使用 AWS 控制台创建/克隆/修改环境时，您将看到一个选择服务角色的选项。如果您以前从未使用过服务角色，您将看到“创建新角色”选项。控制台允许您通过单击按钮来创建 beanstalk 所需的服务角色。您可以在创建角色之前查看权限。

首次创建后，控制台将向您显示一个下拉菜单，其中包含您之前创建的角色(通​​常名为 aws-elasticbeanstalk-service-role)，您可以重用此服务角色。

摘自文档:“服务角色是 Elastic Beanstalk 在代表您调用其他服务时所承担的 IAM 角色。Elastic Beanstalk 在调用 Amazon Elastic Compute Cloud ( Amazon EC2)、Elastic Load Balancing 和 Auto Scaling API，用于收集有关其 AWS 资源运行状况的信息。”

创建/使用角色时，您需要确保 IAM 用户具有您创建的角色的传递角色权限。如果您不使用 root 帐户，请确保您拥有 correct policies对于 IAM 用户。请注意，iam:PassRole 权限允许您的 IAM 用户将角色传递给 beanstalk 服务。

了解服务角色和实例配置文件 here .