Python (boto3), PHP आणि Node.js साठी AWS SDK Setup: Credentials Chain सोप्या भाषेत

By Ravindra Bagale, trainer · LinkedIn · Last updated: 24 October 2026

1. मोठं चित्र: hotel चं key card

हे का लागतं?

London मधल्या hotel मध्ये Emma check-in करते तेव्हा front desk तिला key card देतो. Master key तिच्याकडे नसते. Card फक्त तिची room उघडते आणि checkout ला expire होते. SDK पण असंच काम करतो: ठरलेल्या क्रमाने खिसे तपासून key card (credentials) शोधतो आणि प्रत्येक request sign करतो.

हे काय आहे?

Client म्हणजे एका region मधल्या एका service साठी object, उदा. ap-south-1 मधला S3. Credentials chain म्हणजे SDK तपासत असलेल्या जागांची list: code, environment variables, ~/.aws files (profile), SSO, आणि शेवटी machine चा IAM role (EC2, ECS, Lambda).

कसं करायचं (step by step)

2. तीन SDKs install करा

हे का लागतं?

AWS code ची एक ओळ लिहायच्या आधी library हवी.

हे काय आहे?

Python ला एक package (boto3). PHP ला एक Composer package (aws/aws-sdk-php). JavaScript v3 modular आहे: फक्त लागणारे clients install करायचे, उदा. @aws-sdk/client-s3.

कसं करायचं (step by step)

1. Python: virtual env बनवा आणि boto3 install करा.

python3 -m venv .venv
source .venv/bin/activate
pip install boto3
python -c "import boto3; print(boto3.__version__)"

अपेक्षित output:

1.35.40

2. PHP: Composer ने SDK install करा.

composer require aws/aws-sdk-php
php -r 'require "vendor/autoload.php"; echo Aws\Sdk::VERSION, PHP_EOL;'

अपेक्षित output:

3.325.2

3. Node.js: फक्त लागणारे clients install करा.

npm init -y
npm install @aws-sdk/client-sts @aws-sdk/client-s3 @aws-sdk/credential-providers
npm ls @aws-sdk/client-sts

अपेक्षित output:

my-app@1.0.0
└── @aws-sdk/client-sts@3.679.0

4. Verify: तिन्ही install झाले.

pip show boto3 | head -2
composer show aws/aws-sdk-php | head -3
node -e "console.log(require('@aws-sdk/client-sts/package.json').version)"

अपेक्षित output:

Name: boto3
Version: 1.35.40
name     : aws/aws-sdk-php
versions : * 3.325.2
3.679.0

3. पहिला client: मी कोण?

हे का लागतं?

sts get-caller-identity हा सगळ्यात safe पहिला call. त्याला permissions लागत नाहीत आणि SDK कोणतं account व identity वापरतोय ते सांगतो.

हे काय आहे?

प्रत्येक SDK client बनवतो, GetCallerIdentity call करतो आणि Account, UserId, Arn परत देतो.

कसं करायचं (step by step)

1. Python: whoami.py म्हणून save करून चालवा.

# whoami.py
import boto3

sts = boto3.client("sts", region_name="ap-south-1")
me = sts.get_caller_identity()
print("Account:", me["Account"])
print("Arn:", me["Arn"])

# run: python whoami.py

अपेक्षित output:

Account: 111122223333
Arn: arn:aws:iam::111122223333:user/priya-dev

2. PHP: whoami.php म्हणून save करून चालवा.

<?php
// whoami.php
require "vendor/autoload.php";
use Aws\Sts\StsClient;

$sts = new StsClient(["region" => "ap-south-1"]);
$me = $sts->getCallerIdentity();
echo "Account: ", $me["Account"], PHP_EOL;
echo "Arn: ", $me["Arn"], PHP_EOL;

// run: php whoami.php

अपेक्षित output:

Account: 111122223333
Arn: arn:aws:iam::111122223333:user/priya-dev

3. Node.js: whoami.mjs म्हणून save करून चालवा.

// whoami.mjs
import { STSClient, GetCallerIdentityCommand } from "@aws-sdk/client-sts";

const sts = new STSClient({ region: "ap-south-1" });
const me = await sts.send(new GetCallerIdentityCommand({}));
console.log("Account:", me.Account);
console.log("Arn:", me.Arn);

// run: node whoami.mjs

अपेक्षित output:

Account: 111122223333
Arn: arn:aws:iam::111122223333:user/priya-dev

4. Verify: CLI तीच identity दाखवतो.

aws sts get-caller-identity --query Arn --output text

अपेक्षित output:

arn:aws:iam::111122223333:user/priya-dev

4. Regions आणि named profiles

हे का लागतं?

Manchester मधला Oliver eu-west-2 मधल्या UK account वर आणि us-east-1 मधल्या test account वर काम करतो. Profiles मुळे code न बदलता एकाच laptop वर account बदलता येतं.

हे काय आहे?

Profile म्हणजे ~/.aws/config आणि ~/.aws/credentials मधला नाव दिलेला section. boto3 मध्ये Session(profile_name=...), PHP मध्ये profile option, Node मध्ये fromIni({ profile }).

कसं करायचं (step by step)

1. uk-prod नावाचा profile बनवा.

aws configure --profile uk-prod
# AWS Access Key ID: AKIA...
# Default region name: eu-west-2
cat ~/.aws/config

अपेक्षित output:

[default]
region = ap-south-1
[profile uk-prod]
region = eu-west-2

2. Python: Session ने profile वापरा.

import boto3

session = boto3.Session(profile_name="uk-prod")
print("Region:", session.region_name)
sts = session.client("sts")
print(sts.get_caller_identity()["Account"])

अपेक्षित output:

Region: eu-west-2
444455556666

3. PHP: client ला profile आणि region द्या.

<?php
require "vendor/autoload.php";
use Aws\Sts\StsClient;

$sts = new StsClient([
    "profile" => "uk-prod",
    "region"  => "eu-west-2",
]);
echo $sts->getCallerIdentity()["Account"], PHP_EOL;

अपेक्षित output:

444455556666

4. Node.js: fromIni ने profile load करा.

import { STSClient, GetCallerIdentityCommand } from "@aws-sdk/client-sts";
import { fromIni } from "@aws-sdk/credential-providers";

const sts = new STSClient({
  region: "eu-west-2",
  credentials: fromIni({ profile: "uk-prod" }),
});
const me = await sts.send(new GetCallerIdentityCommand({}));
console.log(me.Account);

अपेक्षित output:

444455556666

5. Verify: एका env var ने profile बदला, code तसाच.

AWS_PROFILE=uk-prod python whoami.py
AWS_PROFILE=uk-prod node whoami.mjs

अपेक्षित output:

Account: 444455556666
Arn: arn:aws:iam::444455556666:user/oliver
Account: 444455556666
Arn: arn:aws:iam::444455556666:user/oliver

5. Environment variables आणि chain चा क्रम

हे का लागतं?

CI servers (GitHub Actions, Jenkins) आणि containers सहसा credentials environment variables ने देतात. दोन जागी set असतील तर कोण जिंकतो ते माहीत हवं.

हे काय आहे?

तिन्ही SDKs AWS_ACCESS_KEY_ID, AWS_SECRET_ACCESS_KEY, AWS_SESSION_TOKEN, AWS_REGION आणि AWS_PROFILE वाचतात. Env keys profile file पेक्षा पुढे.

कसं करायचं (step by step)

1. Python: boto3 ला credentials कुठे मिळाले ते print करा.

import boto3

creds = boto3.Session().get_credentials()
print("Method:", creds.method)
print("Key starts:", creds.access_key[:4])

अपेक्षित output:

Method: env
Key starts: AKIA

2. क्रम तपासा: env keys AWS_PROFILE ला हरवतात.

export AWS_ACCESS_KEY_ID=AKIAEXAMPLE1
export AWS_SECRET_ACCESS_KEY=secretExample1
export AWS_PROFILE=uk-prod
python -c "import boto3;print(boto3.Session().get_credentials().method)"
unset AWS_ACCESS_KEY_ID AWS_SECRET_ACCESS_KEY

अपेक्षित output:

env

3. Node.js: default chain env, ini, SSO आणि roles आपोआप हाताळतो.

import { fromNodeProviderChain } from "@aws-sdk/credential-providers";

const creds = await fromNodeProviderChain()();
console.log("Key starts:", creds.accessKeyId.slice(0, 4));
console.log("Temporary:", Boolean(creds.sessionToken));

अपेक्षित output:

Key starts: ASIA
Temporary: true

4. PHP: default provider स्पष्टपणे बनवा.

<?php
require "vendor/autoload.php";
use Aws\Credentials\CredentialProvider;

$provider = CredentialProvider::defaultProvider();
$creds = $provider()->wait();
echo "Key starts: ", substr($creds->getAccessKeyId(), 0, 4), PHP_EOL;

अपेक्षित output:

Key starts: AKIA

6. IAM roles: keys अजिबात नाहीत

हे का लागतं?

Code मधल्या keys Git मधून leak होतात. EC2, ECS आणि Lambda वर SDK role चे short-lived credentials आपोआप आणतो आणि ते स्वतः rotate होतात.

हे काय आहे?

EC2 ला instance profile (ECS ला task role, Lambda ला execution role) लावा. तुमचा code अगदी तसाच: keys न देता client बनवा.

कसं करायचं (step by step)

1. EC2 instance ला role लावा.

aws ec2 associate-iam-instance-profile --instance-id i-0abc1234def567890 --iam-instance-profile Name=app-s3-reader
aws ec2 describe-iam-instance-profile-associations --query "IamInstanceProfileAssociations[0].State" --output text

अपेक्षित output:

associated

2. त्या instance वर Python: तोच code, keys नाहीत.

import boto3

session = boto3.Session(region_name="ap-south-1")
print(session.get_credentials().method)
print(session.client("sts").get_caller_identity()["Arn"])

अपेक्षित output:

iam-role
arn:aws:sts::111122223333:assumed-role/app-s3-reader/i-0abc1234def567890

3. त्या instance वर Node.js.

import { STSClient, GetCallerIdentityCommand } from "@aws-sdk/client-sts";
const sts = new STSClient({ region: "ap-south-1" });
console.log((await sts.send(new GetCallerIdentityCommand({}))).Arn);

अपेक्षित output:

arn:aws:sts::111122223333:assumed-role/app-s3-reader/i-0abc1234def567890

4. त्या instance वर PHP.

<?php
require "vendor/autoload.php";
$sts = new Aws\Sts\StsClient(["region" => "ap-south-1"]);
echo $sts->getCallerIdentity()["Arn"], PHP_EOL;

अपेक्षित output:

arn:aws:sts::111122223333:assumed-role/app-s3-reader/i-0abc1234def567890

5. Verify: server वर credentials file नाही.

ls ~/.aws/credentials 2>&1
env | grep -c AWS_ACCESS_KEY_ID

अपेक्षित output:

ls: cannot access '/home/ec2-user/.aws/credentials': No such file or directory
0

7. हाच call Java, Go, .NET आणि CLI मध्ये

हे का लागतं?

Teams अनेकदा भाषा मिसळतात. Python, PHP आणि Node.js मध्ये call समजला की बाकीचे SDKs म्हणजे तोच API, फक्त syntax वेगळा.

हे काय आहे?

सगळे GetCallerIdentity API call करतात. Terminal मधून पटकन test करायला CLI ओळ वापरा.

कसं करायचं (step by step)

8. काहीही खर्च चालू राहू नये म्हणून cleanup

हे का लागतं?

चालू ठेवलेले lab resources पैसे खातात आणि security risk बनतात.

हे काय आहे?

उलट्या क्रमाने delete करा: आधी children, मग parents.

कसं करायचं (step by step)

1. नको असलेले test profile lines काढा.

aws configure list-profiles

अपेक्षित output:

default
uk-prod

2. Python venv बंद करा.

deactivate

अपेक्षित output:

(no output means success)

9. मुलाखत प्रश्न आणि उत्तरं

उजळणी, तुलना आणि मुलाखत cards

हा lesson काही मिनिटांत revise करा. Cards phone वर save करा किंवा PNG download करा. प्रत्येक card वरचा QR हा lesson उघडतो.

अजून cards: Ravi Sir's Cards.