如何在不修改主机~/.aws/credentials权限的情况下挂载至Docker容器

核心思路 #

利用**POSIX访问控制列表（ACL）**为主机~/.aws/credentials添加精细权限，允许容器内airflow用户对应的主机UID读取文件，同时保持原文件600的严格权限，避免其他主机用户访问。

操作步骤 #

1. 获取容器内airflow用户的UID
   执行命令查看容器中airflow用户的UID（替换<容器ID/名称>为实际值，可通过docker ps获取）：

   docker exec <容器ID/名称> id airflow
   

   示例输出：

   uid=50000(airflow) gid=50000(airflow) groups=50000(airflow)
   

   记录此处的UID（如50000）。

2. 为主机credentials文件添加ACL权限
   在EC2主机上运行以下命令，给容器airflow对应的UID授予读权限：

   setfacl -m u:<记录的UID>:r ~/.aws/credentials
   

   示例（UID为50000时）：

   setfacl -m u:50000:r ~/.aws/credentials
   

3. 验证ACL配置
   执行命令确认权限生效：

   getfacl ~/.aws/credentials
   

   输出中应包含类似条目：

   user::rw-
   user:50000:r--
   group::---
   mask::r--
   other::---
   

4. 恢复credentials文件的安全权限
   如果之前将权限改为644，现在改回最安全的600：

   chmod 600 ~/.aws/credentials
   

5. 保持Docker Compose配置不变
   原挂载配置无需修改，容器内airflow用户通过UID映射已获得读权限：

   volumes:
     - "${PWD}/dags:/usr/local/airflow/dags"
     - "${PWD}/plugins:/usr/local/airflow/plugins"
     - "${PWD}/requirements:/usr/local/airflow/requirements"
     - "${PWD}/startup_script:/usr/local/airflow/startup"
     - "~/.aws/credentials:/usr/local/airflow/.aws/credentials:ro"
   

方案优势 #

• 权限安全：原文件仅所有者和授权UID可读取，其他主机SSH用户无法访问。
• 自动同步：直接挂载原文件，主机凭证刷新流程会自动同步到容器，无需维护副本。
• 最小侵入：无需修改容器配置或原文件的所有者/组，仅需一条ACL规则，符合你少改动的需求。

注意事项 #

• 若aws-mwaa-local-runner镜像更新后airflow的UID变化，需重新执行步骤1-2更新ACL。
• 确保EC2主机已安装acl工具，未安装可通过sudo yum install acl（RHEL/CentOS）或sudo apt install acl（Debian/Ubuntu）安装。

内容的提问来源于stack exchange，提问作者CustardBun