在 EC2 实例上运行代码时，您用来访问 AWS 资源的开发工具包会自动与 169.254.169.254 上的本地链接 Web 服务器对话，并获取与其他实例对话所需的 AWS 凭证（access_key、secret） AWS 服务。
还有其他选项，例如在 ENV 变量中设置凭据或将它们作为命令行参数传递...
这里的最佳做法是什么？我真的更喜欢让容器访问 169.254.169.254（通过路由请求），或者甚至更好地运行一个代理容器来模仿真实服务器在 169.254.169.254 的行为。
已经有解决方案了吗？
【问题讨论】：
标签： amazon-web-services docker amazon-iam
EC2 元数据服务通常可在 docker 中使用（除非您使用更自定义的网络设置 - 请参阅 this answer 的类似问题）。
如果您的 docker 网络设置阻止它被访问，您可以在 Dockerfile 中使用 ENV 指令或在运行期间直接传递它们，但请记住，来自 IAM 角色的凭证会由 AWS 自动轮换。
【讨论】：
Amazon 确实有一些机制允许容器通过 SDK 访问 IAM 角色，并通过 ECS 代理容器或主机路由/转发请求。复制和粘贴的内容太多了，但使用--net host 是最不推荐的选项，因为没有额外的过滤器允许您的容器完全访问它的主机有权执行的任何操作。
https://docs.aws.amazon.com/AmazonECS/latest/developerguide/task-iam-roles.html
declare -a ENVVARS
declare AWS_ACCESS_KEY_ID AWS_SECRET_ACCESS_KEY AWS_SESSION_TOKEN
get_aws_creds_local () {
# Use this to get secrets on a non AWS host assuming you've set credentials via some mechanism in the past, and then don't pass in a profile to gitlab-runner because it doesn't see the ~/.aws/credentials file where it would look up profiles
awsProfile=${AWS_PROFILE:-default}
AWS_ACCESS_KEY_ID=$(aws --profile $awsProfile configure get aws_access_key_id)
AWS_SECRET_ACCESS_KEY=$(aws --profile $awsProfile configure get aws_secret_access_key)
AWS_SESSION_TOKEN=$(aws --profile $awsProfile configure get aws_session_token)
}
get_aws_creds_iam () {
TEMP_ROLE=$(aws sts assume-role --role-arn "arn:aws:iam::123456789012:role/example-role" --role-session-name AWSCLI-Session)
AWS_ACCESS_KEY_ID=$(echo $TEMP_ROLE | jq -r . Credentials.RoleAccessKeyID)
AWS_SECRET_ACCESS_KEY=$(echo $TEMP_ROLE | jq -r . Credentials.RoleSecretKey)
AWS_SESSION_TOKEN=$(echo $TEMP_ROLE | jq -r . Credentials.RoleSessionToken)
}
get_aws_creds_local
get_aws_creds_iam
ENVVARS=("AWS_ACCESS_KEY_ID=$ACCESS_KEY_ID" "AWS_SECRET_ACCESS_KEY=$ACCESS_SECRET_ACCESS_KEY" "AWS_SESSION_TOKEN=$AWS_SESSION_TOKEN")
# passing creds into GitLab runner
gitlab-runner exec docker stepName $(printf " --env %s" "${ENVVARS[@]}")
# using creds with a docker container
docker run -it --rm $(printf " --env %s" "${ENVVARS[@]}") amazon/aws-cli sts get-caller-identity
【讨论】：
--net host 部分放在哪里？
docker run 之后和您正在运行的容器名称之前的任何位置，例如 ubuntu 或 redis。
docker-in-docker，所以在这种情况下，这会起作用吗？
--net host，您的容器应该能够访问元数据 URL 以自动检索 IAM 实例凭证。
aws sts get-caller-identity