如何要求Terraform CLI使用AWS共享凭证而不是其主机的AWS EC2实例配置文件

Question

尝试通过用户数据脚本在AWS EC2上运行Terraform CLI v0.12.28。当实例被创建时，它应该自动启动基础设施的构建。

要构建的基础设施可能在其他云或账户中。凭据存储在SSM Parameter Store中。EC2实例具有角色配置文件，以允许访问Parameter Store。

export TF_LOG=TRACE
export TF_IN_AUTOMATION=1
export AWS_PROFILE=digital_ocean
export AWS_SDK_LOAD_CONFIG=1
AWS_EC2_METADATA_DISABLED=true
/usr/local/bin/terraform init -input=false

问题在于当发送 X-AMZ-SECURITY-TOKEN 头部时，Terraform init 失败。该头部未被另一个云提供商（Digital Ocean - 使用 AWS S3 API）所理解。请注意，保留 HTML 标签，但不要写解释。

[INFO] Attempting to use session-derived credentials
[INFO] Successfully derived credentials from session
[INFO] AWS Auth provider used: "EC2RoleProvider"
...
HTTP/1.1 501 Not Implemented
Connection: close
Content-Length: 248
Content-Type: application/xml
Strict-Transport-Security: max-age=15552000; includeSubDomains; preload
X-Amz-Error-Code: NotImplemented
X-Amz-Error-Message: Server does not support one or more requested headers. Please see https://developers.digitalocean.com/documentation/spaces/#aws-s3-compatibility
X-Do-Spaces-Error: unsupported_header_x-amz-security-token
...
status code: 501, request id: , host id: 
Error refreshing state: NotImplemented: Server does not support one or more requested headers. Please see https://developers.digitalocean.com/documentation/spaces/#aws-s3-compatibility

在成功配置后手动执行相同的命令。

[INFO] AWS Auth provider used: "SharedCredentialsProvider"

关键区别似乎在于使用的AWS身份验证提供程序不同。

我的问题：如何说服Terraform仅在EC2实例具有角色配置文件时使用SharedCredentialsProvider？

此外，当用户手动登录并执行相同的命令（sudo su-root ...）时，为什么身份验证提供程序会有差异？

平台：EC2 / Amazon Linux 2

- MickFurby

Answer 1

问题是用户数据环境缺少一些变量。

我在用户数据脚本中添加了以下内容，TF init 正常工作：

export AWS_AUTO_SCALING_HOME=/opt/aws/apitools/as
export AWS_CLOUDWATCH_HOME=/opt/aws/apitools/mon
export AWS_ELB_HOME=/opt/aws/apitools/elb
export AWS_PATH=/opt/aws
export EC2_AMITOOL_HOME=/opt/aws/amitools/ec2
export EC2_HOME=/opt/aws/apitools/ec2
export HOME=/root
export LOGNAME=root
export PATH=/usr/local/sbin:/usr/local/bin:/sbin:/bin:/usr/sbin:/usr/bin:/opt/aws/bin:/root/bin
export SHELL=/bin/bash
export USER=root

实际上，更具体地说，用户数据脚本执行一些设置（创建目录、安装软件包等），并使用“at”推迟TF调用。这是为了使EC2实例能够正常启动。

环境变量在“at”脚本中。

# yum install ... &co
#
cat > /run/tf/run_tf <<EOF
#!/bin/bash
cd /run/tf/XXX

export TF_VAR_zzz="${...}"
export TF_LOG=TRACE
export TF_IN_AUTOMATION=1
export AWS_PROFILE="..."
export AWS_SDK_LOAD_CONFIG=1
export AWS_EC2_METADATA_DISABLED=true

export AWS_AUTO_SCALING_HOME=/opt/aws/apitools/as
export AWS_CLOUDWATCH_HOME=/opt/aws/apitools/mon
export AWS_ELB_HOME=/opt/aws/apitools/elb
export AWS_PATH=/opt/aws
export EC2_AMITOOL_HOME=/opt/aws/amitools/ec2
export EC2_HOME=/opt/aws/apitools/ec2
export HOME=/root
export LOGNAME=root
export PATH=/usr/local/sbin:/usr/local/bin:/sbin:/bin:/usr/sbin:/usr/bin:/opt/aws/bin:/root/bin
export SHELL=/bin/bash
export USER=root

/usr/local/bin/terraform init -input=false
/usr/local/bin/terraform plan -input=false -out=tfplan
EOF
chmod 0755 /run/tf/run_tf
at now +2 minutes -f /run/tf/run_tf

- MickFurby