通过 Spinnaker/Terraform 在 EC2 实例上安装 AWS CLI答案

【问题标题】：Installing AWS CLI on EC2 instances via Spinnaker/Terraform通过 Spinnaker/Terraform 在 EC2 实例上安装 AWS CLI
【发布时间】：2019-05-07 21:49:47
【问题描述】：

在通过制作作为烘焙映像 AMI 的一部分来安装 AWS CLI 方面是否有任何安全考虑？

我可以看到可以安装 AWS CLI 的以下方式：

1. Via baking image (i.e. making AWS CLI as part of Base AMI itself)
2. Via cloud init
3. Install it as pre-requisite just before your service bootstraps.

我在上面看到了一个强烈的 NO（来自内部社区），因为 AWS 实例（大三角帆托管）可以做的不仅仅是访问云原生资源而且非常强大。那么在这种情况下，如果我们收紧部署实例的 spinnaker IAM 角色，应该没问题吗？

【问题讨论】：

标签： amazon-web-services terraform aws-cli spinnaker

【解决方案1】：

这实际上取决于您要在每个 EC2 烘焙实例中使用 AWS CLI 做什么。是为了调试目的吗？它是您系统功能的一部分吗？如果仅在调试，您可以启用 AWS CLI，但保留附加了最低权限的 AWS IAM 角色。您可以拥有一个具有特殊权限的角色，您可以将其附加到所需的实例、访问实例并执行调试操作。

除此之外，确实不建议您在实例中使用 AWs CLI 或包安装管理器。

【讨论】：