IAM 角色不适用于 golang Docker 容器答案

【问题标题】：IAM Roles don't work with golang Docker containersIAM 角色不适用于 golang Docker 容器
【发布时间】：2019-12-13 11:18:19
【问题描述】：

仅供参考，我对 docker 比较陌生，但在 go 和 aws 方面经验丰富。

我正在使用 docker 容器构建我的 golang 应用程序（用于弹性 beanstalk），并使用 golang:1.12.7 作为我的基本映像。我通过构建一个基础镜像来使用多阶段 docker 构建，然后从头开始复制我的 golang 二进制文件，以将我的最终镜像从 1gb 减少到 11mb。

一切都正确编译并且能够运行 docker 镜像；但是，当我使用多阶段构建时，我的 IAM 角色不起作用，并且 docker 映像无法从我的 IAM 角色中定义的 aws 服务连接或检索数据。

当我构建基础映像时，IAM 角色可以正常工作并且可以从 aws 检索数据，但我只剩下 1gb 的 docker 映像。

除了下面两个 Dockerfile 的差异之外，我没有更改任何其他 aws 配置、网络、安全组、iam 角色等。

# Dockerfile produces image (11mb) but IAM roles don't work:
FROM golang:1.12.7 as builder #golang version
ENV GOPATH="/app" # set new gopath

# setup initial container
RUN mkdir /app
WORKDIR /app/src/appDirectory
COPY ./appDirectory/ /app/src/appDirectory

RUN go get -u github.com/aws/aws-sdk-go # get go dependencies

RUN CGO_ENABLED=0 GOOS=linux GOARCH=amd64 go build -o appDirectory # compile to binary

# create new container from scratch to reduce size of image
FROM scratch
COPY --from=builder /app/src/appDirectory /app/

ENTRYPOINT ["/app/appDirectory"]

# Dockerfile produces image (1gb) and IAM roles work:
FROM golang:1.12.7 as builder #golang version

ENV GOPATH="/app" # set new gopath

# setup initial container
RUN mkdir /app
WORKDIR /app/src/appDirectory
COPY ./appDirectory/ /app/src/appDirectory

RUN go get -u github.com/aws/aws-sdk-go # get go dependencies

RUN CGO_ENABLED=0 GOOS=linux GOARCH=amd64 go build -o appDirectory # compile to binary

ENTRYPOINT ["./appDirectory"]

我的假设是某些内容没有从使 IAM 角色无法工作的基本 docker 映像复制过来，但我还没有弄清楚为什么会这样。

此外，出于多种原因，我更喜欢使用 IAM 角色而不是编程访问密钥。

提前感谢您提供的任何帮助:)

【问题讨论】：

标签： amazon-web-services docker go

【解决方案1】：

当我从 docker 文件 COPY --from=builder /etc /etc 中的基本映像复制 /etc 文件夹时，iam 角色正常工作，最终映像仅增长到 11.6mb。但是，我不确定为什么会这样。谁能解释一下。

【讨论】：