如何通过Dockerfile/docker-compose安全管理AWS API令牌并部署镜像？

永远不要将AWS API令牌（或任何敏感凭证）构建到Docker镜像中。镜像一旦推送到仓库，所有拉取镜像的人都能提取到凭证，这会直接导致密钥泄露，带来极高的安全风险。

不管是Docker for Windows还是Linux，都应该在容器运行时注入凭证，而非构建阶段。以下是几种通用且安全的方式：

1. 环境变量传递（跨平台通用） #

这和你在Windows GUI中添加环境变量的逻辑一致，启动容器时通过环境变量传入AWS凭证：

Docker CLI方式（Linux/Windows通用） #

docker run -d \
  -p 8000:8000 \
  -e AWS_ACCESS_KEY_ID="你的密钥ID" \
  -e AWS_SECRET_ACCESS_KEY="你的密钥" \
  你的镜像名称:标签

Docker Compose方式（Linux/Windows通用） #

创建docker-compose.yml：

version: '3.8'
services:
  fastapi-app:
    build: .
    ports:
      - "8000:8000"
    environment:
      - AWS_ACCESS_KEY_ID=${AWS_ACCESS_KEY_ID}
      - AWS_SECRET_ACCESS_KEY=${AWS_SECRET_ACCESS_KEY}

使用时先在终端设置环境变量：

• Linux终端：

export AWS_ACCESS_KEY_ID="你的密钥ID"
export AWS_SECRET_ACCESS_KEY="你的密钥"
docker-compose up -d

• Windows PowerShell：

$env:AWS_ACCESS_KEY_ID="你的密钥ID"
$env:AWS_SECRET_ACCESS_KEY="你的密钥"
docker-compose up -d

2. 挂载本地AWS凭证文件 #

如果用户本地已经通过AWS CLI配置了凭证（存储在~/.aws/credentials文件），可以直接将该目录挂载到容器内，让容器复用宿主的AWS配置：

Docker CLI方式 #

docker run -d \
  -p 8000:8000 \
  -v ~/.aws:/root/.aws \
  你的镜像名称:标签

Docker Compose方式 #

version: '3.8'
services:
  fastapi-app:
    build: .
    ports:
      - "8000:8000"
    volumes:
      - ~/.aws:/root/.aws

3. Docker Secrets（仅Docker Swarm模式适用） #

如果使用Docker Swarm集群，可以通过Docker Secrets存储凭证，避免明文传递：

# 创建secrets
echo "你的密钥ID" | docker secret create aws_access_key_id -
echo "你的密钥" | docker secret create aws_secret_access_key -

在docker-compose.yml中引用：

version: '3.8'
services:
  fastapi-app:
    build: .
    ports:
      - "8000:8000"
    secrets:
      - aws_access_key_id
      - aws_secret_access_key
    environment:
      - AWS_ACCESS_KEY_ID_FILE=/run/secrets/aws_access_key_id
      - AWS_SECRET_ACCESS_KEY_FILE=/run/secrets/aws_secret_access_key
secrets:
  aws_access_key_id:
    external: true
  aws_secret_access_key:
    external: true

现有Dockerfile无需修改，保持原样即可——敏感信息绝对不应该出现在镜像构建环节。只需确保你的FastAPI应用能从环境变量或默认AWS凭证路径读取密钥即可（AWS SDK会自动识别这些位置）。

内容的提问来源于stack exchange，提问作者Tejas