如何在本地安全为Docker容器提供AWS凭证？最佳实践咨询

问题背景 #

我们团队正在开展一个项目，需使用Python的boto3库调用AWS Cognito服务。目前采用AWS IAM Identity Center与Google Workspace作为外部身份提供商，为开发者授予短期AWS凭证；本地开发环境通过Docker容器化前后端应用，便于快速搭建环境。现在需要确定将AWS凭证传递至容器的最优方式，同时遵循AWS行业最佳实践。

初步考虑的方案 #

• 在Docker镜像内安装AWS CLI并执行SSO登录命令
• 本地安装AWS CLI，通过环境变量将凭证传入容器
• 创建专门供本地开发使用的IAM角色，通过角色假定获取凭证

各方案分析与推荐 #

1. 本地安装AWS CLI，通过环境变量传递凭证（推荐） #

• 核心优势：
  • 符合AWS最小权限原则，镜像无需额外安装AWS CLI，保持轻量化
  • 凭证仅在本地环境管理，不会被打包进镜像，降低泄露风险
  • 开发者本地的SSO登录状态可直接复用，无需在容器内重复登录
• 操作步骤：
  1. 开发者本地执行aws sso login完成登录，获取短期凭证
  2. 用命令导出凭证为环境变量格式：

     aws configure export-credentials --format env > aws-credentials.env
     

  3. 启动容器时加载该环境变量文件：

     docker run --env-file ./aws-credentials.env <你的镜像名>
     

  4. 容器内的boto3会自动读取这些环境变量，无需额外配置

2. 在Docker内安装AWS CLI（不推荐） #

• 明显劣势：
  • 镜像体积增大，且每个开发者都要在容器内重复执行SSO登录，操作繁琐
  • 容器内的登录状态无法持久化，每次重启容器都要重新登录
  • 额外安装AWS CLI会增加镜像攻击面，不符合镜像轻量化的最佳实践

3. 创建本地开发专用IAM角色（补充方案） #

• 适用场景：如果团队希望统一管控本地开发权限，可创建权限受限的专用IAM角色
• 操作要点：
  1. 在AWS控制台创建IAM角色，信任关系设置为允许开发者的IAM Identity Center用户假定该角色，且仅授予调用Cognito服务所需的最小权限
  2. 开发者本地通过命令获取角色凭证：

     aws sts assume-role --role-arn arn:aws:iam::123456789012:role/DevLocalCognitoRole --role-session-name dev-session
     

  3. 将返回的凭证通过环境变量传递给容器
• 注意：该方案是对第一种方案的补充，核心仍需本地管理凭证，主要作用是进一步缩小权限范围

额外最佳实践提示 #

• 严格遵循最小权限原则：无论是SSO权限还是专用IAM角色，仅授予调用Cognito服务必需的操作权限，避免过度授权
• 绝对禁止将AWS凭证硬编码到Docker镜像、代码或配置文件中，防止凭证泄露
• 可通过Docker Compose简化配置，在docker-compose.yml中引用环境变量：

  services:
    app:
      image: your-app-image
      environment:
        - AWS_ACCESS_KEY_ID=${AWS_ACCESS_KEY_ID}
        - AWS_SECRET_ACCESS_KEY=${AWS_SECRET_ACCESS_KEY}
        - AWS_SESSION_TOKEN=${AWS_SESSION_TOKEN}
  

  开发者只需在启动前导出凭证环境变量，即可直接执行docker-compose up启动容器

内容的提问来源于stack exchange，提问作者tumtarts