在Amazon ECS部署的Docker容器中传递AWS凭证以访问S3的最佳实践

算力阿峰

2026-4-23

嗨，这个问题问到点子上了——把AWS凭证硬编码进镜像、提交到代码仓库绝对是踩坑行为，安全风险拉满。在ECS环境里，AWS已经提供了更安全、更省心的方案，下面按推荐优先级给你梳理几个最佳实践：

首选：使用ECS任务IAM角色（Task IAM Role）
这是AWS官方最推荐的方式，完全不需要手动管理任何凭证。任务角色是专门为ECS任务中的容器设计的，AWS会自动给任务分配临时的AWS凭证，并通过容器内部的元数据服务暴露出来。AWS CLI和大部分AWS SDK都会自动读取这些临时凭证，你根本不用手动配置~/.aws/credentials或者环境变量。
具体操作步骤很简单：
1. 先创建一个IAM角色，给它附加允许s3:PutObject（以及你需要的其他S3权限）的策略；
2. 在你的ECS任务定义里，把这个角色指定为任务角色（Task Role）；
3. 启动任务后，容器里直接运行aws s3api put-object --bucket your-bucket-name --key your-file-key --body /path/to/your-file就可以正常访问S3了，完全不用管凭证的事。
这种方式的好处是临时凭证会自动轮换，权限也可以精确控制，而且不会有凭证泄露的风险。
次选：使用AWS Secrets Manager/Systems Manager Parameter Store（仅特殊场景）
如果你的容器里运行的是老应用，没办法自动读取ECS任务角色的临时凭证，那可以把IAM用户的凭证（注意是最小权限的用户）存在Secrets Manager或者Parameter Store里，然后通过ECS任务定义把这些秘密挂载到容器的环境变量或者文件中。
举个例子，在任务定义里配置环境变量从Secrets Manager获取：
```
"containerDefinitions": [
  {
    "name": "your-container-name",
    "image": "your-image",
    "secrets": [
      {
        "name": "AWS_ACCESS_KEY_ID",
        "valueFrom": "arn:aws:secretsmanager:us-east-1:123456789012:secret:your-s3-creds-AccessKey"
      },
      {
        "name": "AWS_SECRET_ACCESS_KEY",
        "valueFrom": "arn:aws:secretsmanager:us-east-1:123456789012:secret:your-s3-creds-SecretKey"
      }
    ]
  }
]
```
这样容器里的AWS CLI会自动读取这两个环境变量，完成身份验证。不过要注意，这种方式用的是长期凭证，不如任务角色的临时凭证安全，所以非必要不推荐。
绝对要避免的做法
千万不要把凭证复制到Docker镜像里、提交到GitHub仓库，也不要在任务定义里明文设置环境变量——这些做法都会导致凭证泄露，轻则被滥用资源，重则造成数据泄露。

备注：内容来源于stack exchange，提问作者sak