EKS容器中替代s3fuse挂载S3的安全方案咨询

针对你遇到的问题，这里提供几种无需硬编码凭据、符合合规要求的替代方案：

1. 升级 s3fs-fuse 至最新版本（推荐） #

新版 s3fs-fuse（v1.90+）已原生支持 IAM Roles for Service Accounts（IRSA），无需手动维护凭据文件。直接通过参数让 s3fs 自动读取 Pod 内的临时凭据：

# 挂载命令示例
s3fs your-s3-bucket /mnt/s3-mount-point -o iam_role=auto -o allow_other

iam_role=auto 参数会自动识别 EKS IRSA 环境变量或元数据服务中的临时凭据，完全替代静态凭据文件的需求。

2. 通过启动脚本生成临时凭据文件 #

如果无法升级 s3fs-fuse，可在 Pod 启动时通过 AWS CLI 自动获取 IRSA 提供的临时凭据，并写入标准 AWS 凭据文件：

#!/bin/bash
# 从 IRSA 获取临时凭据
AWS_ACCESS_KEY_ID=$(aws configure get aws_access_key_id)
AWS_SECRET_ACCESS_KEY=$(aws configure get aws_secret_access_key)
AWS_SESSION_TOKEN=$(aws configure get aws_session_token)

# 写入 ~/.aws/credentials 文件
cat > ~/.aws/credentials << EOF
[default]
aws_access_key_id = $AWS_ACCESS_KEY_ID
aws_secret_access_key = $AWS_SECRET_ACCESS_KEY
aws_session_token = $AWS_SESSION_TOKEN
EOF

# 启动 s3fs 和应用程序
s3fs your-s3-bucket /mnt/s3
exec your-app-command

将此脚本作为容器的启动命令，确保在 s3fs 启动前完成凭据文件生成。临时凭据会随 Pod 生命周期自动刷新（IRSA 凭据默认有效期 12 小时，足够覆盖大多数 Pod 运行时长）。

3. 使用 Sidecar 容器定期刷新凭据 #

如果 Pod 运行时间超过凭据有效期，可添加一个 Sidecar 容器定期更新共享卷中的凭据文件：

# Deployment 配置片段
volumes:
  - name: aws-credentials
    emptyDir: {}
containers:
  - name: main-app
    image: your-app-image
    volumeMounts:
      - name: aws-credentials
        mountPath: /root/.aws/credentials
        subPath: credentials
    command: ["your-app-start-script.sh"]
  - name: credential-refresher
    image: amazonlinux:2
    command: ["/bin/bash", "-c"]
    args:
      - |
        while true; do
          # 获取并写入最新凭据
          AWS_ACCESS_KEY_ID=$(aws configure get aws_access_key_id)
          AWS_SECRET_ACCESS_KEY=$(aws configure get aws_secret_access_key)
          AWS_SESSION_TOKEN=$(aws configure get aws_session_token)
          cat > /credentials/credentials << EOF
        [default]
        aws_access_key_id = $AWS_ACCESS_KEY_ID
        aws_secret_access_key = $AWS_SECRET_ACCESS_KEY
        aws_session_token = $AWS_SESSION_TOKEN
        EOF
          sleep 3600  # 每小时刷新一次，可根据凭据有效期调整
        done
    volumeMounts:
      - name: aws-credentials
        mountPath: /credentials
    env:
      - name: AWS_REGION
        value: us-east-1

主容器通过共享卷读取最新凭据，无需关心刷新逻辑。

4. 替代方案：使用 AWS 托管文件系统 #

如果应用场景允许，可直接使用与 S3 集成的托管文件系统：

• FSx for Lustre：可直接挂载 S3 桶，通过 IRSA 控制访问权限，应用以标准文件系统方式访问，无需 s3fs。
• EFS + S3 同步：用 EFS 作为中间层，通过 Lambda 或其他服务自动同步 S3 内容，应用访问 EFS 即可。

内容的提问来源于stack exchange，提问作者user10437665