Docker容器使用AWS CLI启动EC2实例报错，寻求ECS部署解决方案

报错的核心原因是ENTRYPOINT与CMD的参数组合逻辑错误：

• 当使用ENTRYPOINT ["/usr/local/bin/aws"]（exec数组形式）时，CMD的内容会作为参数直接传递给aws命令。
• 第一个Dockerfile中，CMD ["sh","-c","ec2 help"]会让容器执行aws sh -c "ec2 help"，sh并不是aws的合法命令，因此触发参数错误。
• 第二个注释的Ubuntu镜像Dockerfile中，CMD ["/bin/bash","-c","aws ec2 help"]会让容器执行aws /bin/bash -c "aws ec2 help"，同样把/bin/bash当成了aws的非法命令，导致报错。

方案1：基于amazon/aws-cli镜像的正确写法 #

调整CMD为aws子命令的数组形式，直接传递参数给ENTRYPOINT的aws命令：

FROM amazon/aws-cli:2.7.21
# 注意：硬编码密钥极不安全，后续建议改用ECS任务IAM角色或安全的环境变量传递
RUN aws configure set aws_access_key_id HOJO
RUN aws configure set aws_secret_access_key JOJO
ENTRYPOINT [ "/usr/local/bin/aws" ]
# 直接传递ec2 help作为aws的参数
CMD ["ec2", "help"]

运行容器时，实际执行的命令是/usr/local/bin/aws ec2 help，符合aws cli的语法要求。

方案2：基于Ubuntu镜像的正确写法 #

有两种调整方式：

方式A：保持ENTRYPOINT为aws，调整CMD为子命令数组 #

FROM ubuntu:jammy-20220801

RUN apt-get update && apt-get install -y \
    software-properties-common
RUN add-apt-repository universe
RUN apt-get update && apt-get install -y \
    curl \
    python3 \
    python3-pip
RUN pip install awscli

ENTRYPOINT ["/usr/local/bin/aws"]
# 直接传递ec2 help参数
CMD ["ec2", "help"]

方式B：改用bash作为ENTRYPOINT，执行完整命令 #

如果需要用bash -c包裹命令（比如后续要扩展复杂逻辑），可以调整ENTRYPOINT为bash：

FROM ubuntu:jammy-20220801

RUN apt-get update && apt-get install -y \
    software-properties-common
RUN add-apt-repository universe
RUN apt-get update && apt-get install -y \
    curl \
    python3 \
    python3-pip
RUN pip install awscli

ENTRYPOINT ["/bin/bash", "-c"]
CMD ["aws ec2 help"]

绝对不要在Dockerfile中硬编码AWS访问密钥，这会导致密钥泄露到镜像中，严重违反安全规范。正确的做法是：

• 给ECS任务分配具有EC2启动权限的IAM角色，容器会自动继承该角色的权限，无需手动配置密钥。
• 如果必须使用密钥，通过ECS任务的环境变量传递，且不要将变量值写入Dockerfile或镜像中。

内容的提问来源于stack exchange，提问作者zoro