Docker容器部署Python应用遇NoCredentialsError：无法连接S3桶

本地容器调试的问题分析与解决 #

你的Dockerfile存在两个核心问题：

1. 凭据复制路径错误：你复制的是项目根目录下的.aws文件夹，但本地运行时boto3读取的是用户家目录（如~/.aws）的凭据，而非项目目录。
2. 凭据打包进镜像不安全：将AWS凭据复制到镜像中会导致凭据泄露风险，这是生产环境的大忌。

本地容器的正确调试方式 #

方式1：挂载本地凭据目录（推荐）

运行容器时，将本地用户家目录的.aws挂载到容器内root用户的家目录，让boto3自动读取凭据：

docker run -v ~/.aws:/root/.aws -p 8501:8501 [你的镜像名称]

方式2：通过环境变量传递凭据（仅临时调试用）

不建议在生产环境使用，仅用于临时测试：

docker run -e AWS_ACCESS_KEY_ID=[你的Access Key] -e AWS_SECRET_ACCESS_KEY=[你的Secret Key] -p 8501:8501 [你的镜像名称]

Fargate部署的正确方案（生产环境） #

部署到AWS Fargate时，绝对不能使用本地凭据或打包凭据到镜像，必须使用IAM任务角色来实现无凭据访问S3。

步骤1：创建IAM任务角色 #

1. 登录AWS IAM控制台，创建新角色，信任实体选择ECS任务。
2. 为角色添加S3访问权限，可使用预设策略（如AmazonS3ReadOnlyAccess）或自定义策略（遵循最小权限原则），示例自定义策略：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::[你的S3桶名称]",
                "arn:aws:s3:::[你的S3桶名称]/*"
            ]
        }
    ]
}

步骤2：配置Fargate任务定义 #

1. 进入ECS控制台，创建Fargate类型的任务定义。
2. 在任务角色选项中，选择刚才创建的IAM角色。
3. 配置容器信息：指定你的镜像地址、端口映射（如8501）等。

步骤3：部署Fargate任务 #

1. 创建或选择已有的ECS集群，启动任务时选择上述任务定义。
2. 配置网络（VPC、子网、安全组，确保能访问S3，可通过VPC端点优化访问）。

部署完成后，Fargate任务会自动通过IAM角色获取临时AWS凭据，boto3无需任何额外配置即可访问S3桶。

内容的提问来源于stack exchange，提问作者Maxime