Eine Anwendung auf EC2 verwendete zuvor IAM-Benutzerzugriffsschlüssel, die in Umgebungsvariablen gespeichert waren, um DynamoDB über boto aufzurufen. Der Entwickler hat eine Instance-Rolle mit denselben Berechtigungen angehängt und dann den IAM-Benutzer gelöscht. Nach dem Neustart zeigen die App-Protokolle AccessDeniedException an, aber der Entwickler kann DynamoDB CLI-Befehle mit seinem persönlichen Konto auf dem Server ausführen. Was ist die WAHRSCHEINLICHSTE Ursache für die Ausnahme?

Die Anwendung verwendet wahrscheinlich immer noch die alten Anmeldeinformationen aus den Umgebungsvariablen, die nach dem Löschen des IAM-Benutzers ungültig geworden sind. Obwohl eine Instance-Rolle zugewiesen wurde, überschreiben explizit in Umgebungsvariablen definierte Anmeldeinformationen die durch die Instance-Rolle bereitgestellten temporären Anmeldeinformationen. Die Anwendung muss neu konfiguriert oder der Code geändert werden, um die Umgebungsvariablen zu ignorieren oder zu entfernen, damit das AWS SDK die Instance-Rollen-Anmeldeinformationen automatisch abrufen kann. IAM-Richtlinien propagieren in der Regel schnell. Das AWS SDK unterstützt Instance-Rollen-Anmeldeinformationen vollständig und ist der empfohlene Weg. Die Sicherheitsgruppe ist unwahrscheinlich die Ursache, da der CLI-Zugriff vom Server aus funktioniert, was darauf hindeutet, dass die Netzwerkverbindung zur Metadaten-Service-Adresse (169.254.169.254) funktioniert.