如何通过CronJob自动执行aws configure并切换EKS集群上下文

不推荐直接用管道执行aws configure的原因 #

aws configure是交互式命令，虽然可以通过管道传参绕过交互，但这种方式会把敏感凭证暴露在命令行历史、Pod日志中，风险极高，不建议在生产环境使用。

更安全的实现方案 #

优先通过Kubernetes Secret管理敏感凭证，结合环境变量或直接生成配置文件的方式完成AWS CLI配置。

方法1：通过环境变量直接注入凭证 #

AWS CLI原生支持读取环境变量，无需运行aws configure：

• AWS_ACCESS_KEY_ID：访问密钥ID
• AWS_SECRET_ACCESS_KEY：秘密访问密钥
• AWS_DEFAULT_REGION：集群所在区域

步骤1：创建存储凭证的Secret

kubectl create secret generic aws-eks-credentials \
  --from-literal=AWS_ACCESS_KEY_ID=你的访问密钥ID \
  --from-literal=AWS_SECRET_ACCESS_KEY=你的秘密访问密钥 \
  --from-literal=AWS_DEFAULT_REGION=集群所在区域

步骤2：编写CronJob YAML

apiVersion: batch/v1
kind: CronJob
metadata:
  name: eks-cluster-check
spec:
  schedule: "*/5 * * * *" # 按需调整执行频率，示例为每5分钟一次
  jobTemplate:
    spec:
      template:
        spec:
          containers:
          - name: eks-check
            image: amazon/aws-cli:latest # 或包含kubectl的自定义镜像
            command: ["/bin/sh", "-c"]
            args:
            - |
              # 更新kubeconfig以访问EKS集群
              aws eks update-kubeconfig --name 你的EKS集群名称
              # 执行自定义检查操作，示例为查看节点状态
              kubectl get nodes
            env:
            - name: AWS_ACCESS_KEY_ID
              valueFrom:
                secretKeyRef:
                  name: aws-eks-credentials
                  key: AWS_ACCESS_KEY_ID
            - name: AWS_SECRET_ACCESS_KEY
              valueFrom:
                secretKeyRef:
                  name: aws-eks-credentials
                  key: AWS_SECRET_ACCESS_KEY
            - name: AWS_DEFAULT_REGION
              valueFrom:
                secretKeyRef:
                  name: aws-eks-credentials
                  key: AWS_DEFAULT_REGION
          restartPolicy: OnFailure

方法2：直接生成AWS配置文件 #

如果需要模拟aws configure生成的配置文件结构，可以在脚本中直接写入~/.aws目录下的配置文件：
在CronJob的args中添加：

mkdir -p ~/.aws
cat > ~/.aws/credentials << EOF
[default]
aws_access_key_id = \${AWS_ACCESS_KEY_ID}
aws_secret_access_key = \${AWS_SECRET_ACCESS_KEY}
EOF

cat > ~/.aws/config << EOF
[default]
region = \${AWS_DEFAULT_REGION}
EOF

同样通过Secret注入环境变量，后续AWS命令会自动读取该配置。

管道执行aws configure的可行性（仅作参考，不推荐） #

如果非要用管道传参，可按aws configure的交互顺序传入参数，但敏感信息会暴露：

echo -e "你的访问密钥ID\n你的秘密访问密钥\n集群所在区域\njson" | aws configure

参数顺序依次为：访问密钥ID → 秘密访问密钥 → 区域 → 输出格式。

额外建议 #

• 确保使用的IAM实体（用户/角色）拥有eks:DescribeCluster等访问EKS的必要权限。
• 优先使用IAM角色关联Pod（IRSA）：这是最安全的方式，无需存储长期凭证，Pod会自动获取临时AWS凭证，避免敏感数据泄露风险。

内容的提问来源于stack exchange，提问作者Muhammed Adil