amazon-web-services - 如何要求 Terraform CLI 使用 AWS 共享凭证而不是其主机的 AWS EC2 实例配置文件

Question

尝试通过用户数据脚本在 AWS EC2 上运行 Terraform CLI v0.12.28。配置实例后，它应该自动启动基础架构构建。

要构建的基础设施可以在其他云或帐户上。凭据存储在 SSM Parameter Store 中。EC2 实例具有允许访问 Parameter Store 的角色配置文件。

export TF_LOG=TRACE
export TF_IN_AUTOMATION=1
export AWS_PROFILE=digital_ocean
export AWS_SDK_LOAD_CONFIG=1
AWS_EC2_METADATA_DISABLED=true
/usr/local/bin/terraform init -input=false

问题是 Terraform init 在发送 X-AMZ-SECURITY-TOKEN 标头时失败。其他云提供商（Digital Ocean - 使用 AWS S3 API）不理解该标头。

[INFO] Attempting to use session-derived credentials
[INFO] Successfully derived credentials from session
[INFO] AWS Auth provider used: "EC2RoleProvider"
...
HTTP/1.1 501 Not Implemented
Connection: close
Content-Length: 248
Content-Type: application/xml
Strict-Transport-Security: max-age=15552000; includeSubDomains; preload
X-Amz-Error-Code: NotImplemented
X-Amz-Error-Message: Server does not support one or more requested headers. Please see https://developers.digitalocean.com/documentation/spaces/#aws-s3-compatibility
X-Do-Spaces-Error: unsupported_header_x-amz-security-token
...
status code: 501, request id: , host id: 
Error refreshing state: NotImplemented: Server does not support one or more requested headers. Please see https://developers.digitalocean.com/documentation/spaces/#aws-s3-compatibility

配置成功后手动执行相同的命令。

[INFO] AWS Auth provider used: "SharedCredentialsProvider"

关键区别似乎是使用的 AWS Auth 提供程序。

我的问题：即使 EC2 实例具有角色配置文件，我如何才能说服 Terraform 仅使用SharedCredentialsProvider ？

此外，当用户登录并手动执行相同的命令（sudo su - root ...）时，为什么身份验证提供程序会有所不同？

平台：EC2/亚马逊 Linux 2

标签： amazon-web-servicesamazon-ec2terraformdigital-oceanterraform-provider-aws

Answer 1

问题是用户数据环境缺少一些变量。

我在用户数据脚本中添加了以下内容，TF init 按预期工作：

export AWS_AUTO_SCALING_HOME=/opt/aws/apitools/as
export AWS_CLOUDWATCH_HOME=/opt/aws/apitools/mon
export AWS_ELB_HOME=/opt/aws/apitools/elb
export AWS_PATH=/opt/aws
export EC2_AMITOOL_HOME=/opt/aws/amitools/ec2
export EC2_HOME=/opt/aws/apitools/ec2
export HOME=/root
export LOGNAME=root
export PATH=/usr/local/sbin:/usr/local/bin:/sbin:/bin:/usr/sbin:/usr/bin:/opt/aws/bin:/root/bin
export SHELL=/bin/bash
export USER=root

实际上，更具体地说，用户数据脚本执行一些设置（创建目录、安装包等）并使用“at”延迟 TF 调用。这是为了使 EC2 实例能够正确启动。

环境变量在“at”脚本中

# yum install ... &co
#
cat > /run/tf/run_tf <<EOF
#!/bin/bash
cd /run/tf/XXX

export TF_VAR_zzz="${...}"
export TF_LOG=TRACE
export TF_IN_AUTOMATION=1
export AWS_PROFILE="..."
export AWS_SDK_LOAD_CONFIG=1
export AWS_EC2_METADATA_DISABLED=true

export AWS_AUTO_SCALING_HOME=/opt/aws/apitools/as
export AWS_CLOUDWATCH_HOME=/opt/aws/apitools/mon
export AWS_ELB_HOME=/opt/aws/apitools/elb
export AWS_PATH=/opt/aws
export EC2_AMITOOL_HOME=/opt/aws/amitools/ec2
export EC2_HOME=/opt/aws/apitools/ec2
export HOME=/root
export LOGNAME=root
export PATH=/usr/local/sbin:/usr/local/bin:/sbin:/bin:/usr/sbin:/usr/bin:/opt/aws/bin:/root/bin
export SHELL=/bin/bash
export USER=root

/usr/local/bin/terraform init -input=false
/usr/local/bin/terraform plan -input=false -out=tfplan
EOF
chmod 0755 /run/tf/run_tf
at now +2 minutes -f /run/tf/run_tf