Amazon S3 正式登陆 Vercel Marketplace

Vercel 与 AWS 的集成再进一步。Amazon S3 现已作为官方集成加入 Vercel Marketplace，开发者无需离开 Vercel 项目面板，就能直接创建、连接和管理 S3 资源。

Amazon S3 加入 Vercel Marketplace

集成做了什么

这项集成把 S3 的连接细节自动写入环境变量，资源与应用程序基础设施并列展示，同时保留跳转到 AWS 控制台做深度配置的入口。换句话说，日常的对象存储操作留在 Vercel，复杂策略仍然回到 AWS。

认证方式是一个关键变化：集成使用 OIDC 签发的短期凭证，不再需要把静态 AWS 密钥写进环境变量。对长期受困于密钥轮换和泄露风险的前端团队来说，这一点比界面整合更有价值。

OIDC（OpenID Connect）是在 OAuth 2.0 之上构建的身份认证协议，它在授权流程中额外颁发一个签名的 ID Token，用来证明调用方的身份。把它用于云资源的临时凭证换取，是近年替代静态 Access Key 的主流做法。

具体到 Vercel 与 AWS 的集成中，Vercel 作为身份提供方（IdP）签发带有项目、环境等声明的短期令牌，AWS 侧通过预先配置的 IAM 角色信任策略校验该令牌，再通过 STS 的 AssumeRoleWithWebIdentity 接口换取有效期通常只有几十分钟的临时密钥。这意味着即使凭证被截获，攻击窗口也非常有限，且无需人工轮换。相较之下，长期使用的静态 AWS 密钥一旦写进环境变量或提交进仓库，就可能长期有效、难以审计，泄露后往往需要手动停用并重建。

代码层面怎么用

集成提供了两种接入路径。最简单的方式是从 @vercel/aws 导入 createS3，一行代码拿到已通过 Vercel OIDC 认证的 S3 客户端：

import { createS3 } from '@vercel/aws';
const os = createS3();

如果需要更细粒度的控制，可以直接组合 AWS SDK 与 Vercel 的 OIDC 凭证提供器：

import { S3Client, PutObjectCommand } from "@aws-sdk/client-s3";
import { awsCredentialsProvider } from "@vercel/functions/oidc";

const s3 = new S3Client({
  region: process.env.AWS_REGION,
  credentials: awsCredentialsProvider({
    roleArn: process.env.AWS_ROLE_ARN,
  }),
});

凭证、区域、角色 ARN 和桶名都通过环境变量注入，上传逻辑本身与常规 S3 用法无异。

Role ARN（Amazon Resource Name）是 AWS 中用于唯一标识资源的字符串格式，形如 arn:aws:iam::123456789012:role/my-role，其中包含分区、服务、账号 ID 和资源路径等字段。在 OIDC 认证流程里，roleArn 指向的是被信任的 IAM 角色，而不是用户或密钥。

当代码调用 awsCredentialsProvider 时，SDK 会先向 Vercel 的 OIDC 端点请求一个令牌，再携带该令牌调用 AWS STS 的 AssumeRoleWithWebIdentity，换取一组带有过期时间的临时凭证。roleArn 与 AWS 侧角色信任策略中的条件（如允许的 OIDC 颁发者、受众、项目标识）必须严格匹配，否则换取会失败。这也是为什么集成能自动完成配置：它把角色、区域和桶名一并写入环境变量，保证两端的信任关系一致。

S3、Blob 还是更专用的存储

Vercel 同时提供 Blob 存储，定位是面向应用文件上传的公开/私有存储，自带缓存和靠近终端用户的 CDN 分发。官方给出的选择建议相当克制：

已有 AWS 工作流的团队，选 Amazon S3 集成；
需要对托管 Iceberg 表做分析，用 S3 Tables；
需要向量存储与检索，用 S3 Vectors。

这实际上是在把"文件放哪"这个决策拆成三个更具体的问题：通用对象存储、分析型表格式、向量检索。Blob 则继续承担对延迟敏感、走 CDN 的静态资源场景。

v0 与开通方式

S3 同样接入了 v0，可以根据提示词直接配置资源、建立连接并生成代码，省掉手工创建桶和配置角色的步骤。

开通入口在 Vercel Marketplace。通过 Vercel 新建 AWS 账号可获得 100 美元额度、有效期六个月；已有账号也可以关联，并在 Vercel 面板里管理套餐与用量。需要注意的是，关联的已有账号只支持通过 Vercel 新建的桶，已有的存量桶不在管理范围内。

一点判断

这次集成的核心不是"少开一个标签页"，而是 OIDC 短时凭证把 AWS 密钥从 Vercel 项目的环境变量里彻底移除。对中小团队来说，这消掉了一类长期存在的运维隐患；对已有成熟 AWS 治理体系的大团队，价值则更多体现在开发体验和资源可见性上。限制也很明确——存量桶无法纳管，说明这套集成仍偏向"在 Vercel 里新建"的工作流，而非接管全部 AWS 资产。

存量桶无法纳管，是这类托管集成常见的边界。原因在于集成依赖 Vercel 侧创建资源时同步建立的 IAM 角色信任关系和资源命名约定，已存在的桶往往挂在不同的账号、策略或组织单元下，需要额外的显式授权才能纳入统一管理。若希望把现有桶接入，通常仍需在 AWS 控制台手动调整桶策略与角色权限，再通过环境变量显式传递桶名与角色 ARN，无法完全依赖自动配置。这也解释了官方为何将集成定位为“在 Vercel 里新建”的顺滑路径，而非接管全部 AWS 资产的统一控制面。