从服务器上的容器访问 AWS S3 存储桶

Question

如何在代码中没有我的 AWS 凭证的情况下从容器访问我的 S3 存储桶？

我的代码也自动部署，因此将其作为环境变量也不好（部署脚本在存储库中 - 凭据也应该在那里）。

我试图研究 IAM 角色，但无法解决对我的用例有帮助的东西。

Answer 1

如果您直接在 EC2 实例上运行容器（不使用 ECS 服务），那么您需要创建一个 IAM role 并为其附加适当的策略（例如 AmazonS3FullAccess，如果您需要 S3 的所有权限，如果你只需要阅读S3的内容，然后你可以添加AmazonS3ReadOnlyAccess策略）。创建此角色后，您可以将其附加到运行容器的 EC2 实例。

如果您使用 ECS 服务，那么您可以将此角色附加到您定义容器的任务（仍然可以将其附加到底层 EC2 容器实例 - 但仅适用于 EC2 启动类型，不能Fargate - 让容器承担该角色，但最好尽可能细化 - 各个任务有自己的角色）。

您不应该将 AWS 凭证添加到您的代码中或将它们存储在 EC2 实例/容器中，这就是您拥有角色的原因。