Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

我们宣布了即将推出 end-of-support 的 Amazon SDK for Java (v1)。建议您迁移到 Amazon SDK for Java v2。有关日期、其他详细信息以及如何迁移的信息，请参阅链接的公告。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

使用 IAM 角色授予对 Amazon EC2 上的 Amazon 资源的访问权

必须通过使用由 Amazon 颁发的凭证对发送到 Amazon Web Services (Amazon) 的所有请求进行加密签名。可以使用 IAM 角色 方便地授予对 Amazon EC2 实例上的 Amazon 资源的安全访问权。

本主题介绍如何将 IAM 角色与 Amazon EC2 上运行的 Java SDK 应用程序结合使用。有关 IAM 实例的更多信息，请参阅《Amazon EC2 用户指南（适用于 Linux 实例）》中的适用于 Amazon EC2 的 IAM 角色。

默认提供程序链和 EC2 实例配置文件

如果您的应用程序使用默认构造函数创建 Amazon 客户端，则该客户端将按照以下顺序使用默认凭证提供程序链 搜索凭证：

只有在对 Amazon EC2 实例运行应用程序时，默认提供程序链中的实例配置文件凭证 步骤才可用，但在处理 Amazon EC2 实例时，该步骤能够最大限度地简化使用过程并提高安全性。您还可以将 InstanceProfileCredentialsProvider 实例直接传递给客户端构造函数，这样无需执行整个默认提供程序链即可获取实例配置文件凭证。

例如：

AmazonS3 s3 = AmazonS3ClientBuilder.standard()
              .withCredentials(new InstanceProfileCredentialsProvider(false))
              .build();

在使用该方法时，SDK 在其实例配置文件中，检索与 Amazon EC2 实例的关联 IAM 角色的关联凭证具有相同权限的临时 Amazon 凭证。尽管这些凭证是临时凭证，而且最终会过期，但 InstanceProfileCredentialsProvider 会定期为您刷新它们，保证您收到的凭证可继续访问 Amazon。

如果客户端构造函数使用凭证提供程序链找不到凭证，它会引发 AmazonClientException。

演练：将 IAM 角色用于 EC2 实例

以下演练将介绍如何使用 IAM 角色从 Amazon S3 中检索对象以管理访问。

创建 IAM 角色

创建授予对 Amazon S3 的只读访问权的 IAM 角色。

启动 EC2 实例并指定您的 IAM 角色

您可通过 Amazon EC2 控制台或 Amazon SDK for Java，使用 IAM 角色启动 Amazon EC2 实例。

创建您的应用程序

让我们来构建在 EC2 实例上运行的示例应用程序。首先，创建一个目录来用于保存教程文件 (例如，GetS3ObjectApp)。

然后，将 Amazon SDK for Java 库复制到新创建的目录中。如果已将Amazon SDK for Java下载到 ~/Downloads 目录中，可以使用以下命令进行复制：

cp -r ~/Downloads/aws-java-sdk-{1.7.5}/lib .
cp -r ~/Downloads/aws-java-sdk-{1.7.5}/third-party .

打开一个新文件，将其命名为 GetS3Object.java 并添加以下代码：

import java.io.*;

import com.amazonaws.auth.*;
import com.amazonaws.services.s3.*;
import com.amazonaws.services.s3.model.*;
import com.amazonaws.AmazonClientException;
import com.amazonaws.AmazonServiceException;

public class GetS3Object {
  private static final String bucketName = "text-content";
  private static final String key = "text-object.txt";

  public static void main(String[] args) throws IOException
  {
    AmazonS3 s3Client = AmazonS3ClientBuilder.defaultClient();

    try {
      System.out.println("Downloading an object");
      S3Object s3object = s3Client.getObject(
          new GetObjectRequest(bucketName, key));
      displayTextInputStream(s3object.getObjectContent());
    }
    catch(AmazonServiceException ase) {
      System.err.println("Exception was thrown by the service");
    }
    catch(AmazonClientException ace) {
      System.err.println("Exception was thrown by the client");
    }
  }

  private static void displayTextInputStream(InputStream input) throws IOException
  {
    // Read one text line at a time and display.
    BufferedReader reader = new BufferedReader(new InputStreamReader(input));
    while(true)
    {
      String line = reader.readLine();
      if(line == null) break;
      System.out.println( "    " + line );
    }
    System.out.println();
  }
}

打开一个新文件，将其命名为 build.xml 并添加以下行：

<project name="Get {S3} Object" default="run" basedir=".">
  <path id="aws.java.sdk.classpath">
    <fileset dir="./lib" includes="**/*.jar"/>
    <fileset dir="./third-party" includes="**/*.jar"/>
    <pathelement location="lib"/>
    <pathelement location="."/>
  </path>

  <target name="build">
  <javac debug="true"
    includeantruntime="false"
    srcdir="."
    destdir="."
    classpathref="aws.java.sdk.classpath"/>
  </target>

  <target name="run" depends="build">
    <java classname="GetS3Object" classpathref="aws.java.sdk.classpath" fork="true"/>
  </target>
</project>

构建并运行修改后的程序。请注意，该程序中未存储凭证。所以，除非您已经指定 Amazon 凭证，否则代码会引发 AmazonServiceException。例如：

$ ant
Buildfile: /path/to/my/GetS3ObjectApp/build.xml

build:
  [javac] Compiling 1 source file to /path/to/my/GetS3ObjectApp

run:
   [java] Downloading an object
   [java] AmazonServiceException

BUILD SUCCESSFUL

传输已编译的程序到您的 EC2 实例

使用安全复制 (Amazon EC2 )，将程序连同 库传输到 Amazon SDK for Java 实例。该命令序列与以下序列相似。

scp -p -i {my-key-pair}.pem GetS3Object.class ec2-user@{public_dns}:GetS3Object.class
scp -p -i {my-key-pair}.pem build.xml ec2-user@{public_dns}:build.xml
scp -r -p -i {my-key-pair}.pem lib ec2-user@{public_dns}:lib
scp -r -p -i {my-key-pair}.pem third-party ec2-user@{public_dns}:third-party

在上述命令中：

chmod -R u+rwx GetS3Object.class build.xml lib third-party

在 EC2 实例上运行示例程序

要运行程序，请连接到 Amazon EC2 实例。有关更多信息，请参阅《Amazon EC2 用户指南（适用于 Linux 实例）》中的连接到您的 Linux 实例。

如果 ant 在您的实例上不可用，请使用以下命令安装它：

sudo yum install ant

然后使用 ant 运行程序，如下所示：

ant run

该程序会将 Amazon S3 对象的内容写入命令窗口。