如何在Dockerfile中自动获取AWS CodeArtifact令牌以还原NuGet包？

方案1：构建时用AWS CLI动态生成令牌 #

适合本地或非AWS托管环境构建，核心思路是在Docker构建过程中直接调用AWS CLI生成临时令牌，再配置给NuGet：

• 先给Docker镜像装上AWS CLI（如果基础镜像自带就跳过）
• 构建时传入AWS访问密钥作为参数（别硬编码在Dockerfile里）
• 生成令牌后直接配置NuGet源

示例Dockerfile片段：

FROM mcr.microsoft.com/dotnet/sdk:6.0 AS build

# Debian/Ubuntu镜像安装AWS CLI
RUN apt-get update && apt-get install -y awscli

# 定义构建参数，按需传入
ARG AWS_ACCESS_KEY_ID
ARG AWS_SECRET_ACCESS_KEY
ARG AWS_REGION
ARG CODEARTIFACT_DOMAIN
ARG CODEARTIFACT_REPO
ARG CODEARTIFACT_ACCOUNT_ID

# 设置环境变量让AWS CLI读取凭证
ENV AWS_ACCESS_KEY_ID=$AWS_ACCESS_KEY_ID
ENV AWS_SECRET_ACCESS_KEY=$AWS_SECRET_ACCESS_KEY
ENV AWS_REGION=$AWS_REGION

# 生成令牌并配置NuGet源
RUN TOKEN=$(aws codeartifact get-authorization-token --domain $CODEARTIFACT_DOMAIN --domain-owner $CODEARTIFACT_ACCOUNT_ID --query authorizationToken --output text) && \
    dotnet nuget add source https://$CODEARTIFACT_DOMAIN-$CODEARTIFACT_ACCOUNT_ID.d.codeartifact.$AWS_REGION.amazonaws.com/nuget/$CODEARTIFACT_REPO/v3/index.json --name codeartifact --username aws --password $TOKEN --store-password-in-clear-text

# 执行还原
RUN dotnet restore test.csproj -nowarn:msb3202,nul50

构建命令示例：

docker build --build-arg AWS_ACCESS_KEY_ID=你的密钥ID --build-arg AWS_SECRET_ACCESS_KEY=你的密钥 --build-arg AWS_REGION=us-east-1 --build-arg CODEARTIFACT_DOMAIN=你的域名 --build-arg CODEARTIFACT_REPO=你的仓库 --build-arg CODEARTIFACT_ACCOUNT_ID=你的AWS账号ID -t 镜像名 .

注意：用来生成令牌的IAM用户必须有codeartifact:GetAuthorizationToken和codeartifact:ReadFromRepository权限。

方案2：AWS托管环境用IAM角色（更安全） #

如果你的Docker构建是在EC2、CodeBuild、ECS这类AWS服务里跑，直接用IAM角色就行，不用传密钥：

• 给构建资源（比如CodeBuild项目、EC2实例角色）加个带CodeArtifact权限的IAM策略
• Dockerfile里直接调用AWS CLI生成令牌，AWS会自动从环境获取角色的临时凭证

示例Dockerfile片段：

FROM mcr.microsoft.com/dotnet/sdk:6.0 AS build

RUN apt-get update && apt-get install -y awscli

ARG AWS_REGION
ARG CODEARTIFACT_DOMAIN
ARG CODEARTIFACT_REPO
ARG CODEARTIFACT_ACCOUNT_ID

ENV AWS_REGION=$AWS_REGION

RUN TOKEN=$(aws codeartifact get-authorization-token --domain $CODEARTIFACT_DOMAIN --domain-owner $CODEARTIFACT_ACCOUNT_ID --query authorizationToken --output text) && \
    dotnet nuget add source https://$CODEARTIFACT_DOMAIN-$CODEARTIFACT_ACCOUNT_ID.d.codeartifact.$AWS_REGION.amazonaws.com/nuget/$CODEARTIFACT_REPO/v3/index.json --name codeartifact --username aws --password $TOKEN --store-password-in-clear-text

RUN dotnet restore test.csproj -nowarn:msb3202,nul50

这种方式完全不需要硬编码或传递密钥，安全度更高。

方案3：用NuGet的AWS凭证插件（自动刷新令牌） #

AWS官方提供了NuGet凭证插件，能让NuGet自动获取并刷新CodeArtifact令牌，一劳永逸：

• 安装插件后，NuGet源配置里密码填aws就行，插件会自动处理令牌的生成和更新

Dockerfile示例：

FROM mcr.microsoft.com/dotnet/sdk:6.0 AS build

# 安装AWS CodeArtifact NuGet凭证插件
RUN dotnet tool install -g Amazon.CodeArtifact.NuGetCredentialProvider

# 配置NuGet使用该凭证提供程序
ENV NUGET_CREDENTIALPROVIDERS_PATH="/root/.dotnet/tools/.store/amazon.codeartifact.nugetcredentialprovider/*/tools/net6.0/any"

ARG AWS_REGION
ARG CODEARTIFACT_DOMAIN
ARG CODEARTIFACT_REPO
ARG CODEARTIFACT_ACCOUNT_ID

ENV AWS_REGION=$AWS_REGION

# 添加NuGet源，密码设为aws
RUN dotnet nuget add source https://$CODEARTIFACT_DOMAIN-$CODEARTIFACT_ACCOUNT_ID.d.codeartifact.$AWS_REGION.amazonaws.com/nuget/$CODEARTIFACT_REPO/v3/index.json --name codeartifact --username aws --password aws

# 执行还原，插件会自动获取令牌
RUN dotnet restore test.csproj -nowarn:msb3202,nul50

之后每次还原都会自动刷新令牌，不用再手动更新。

内容的提问来源于stack exchange，提问作者RachChandra