如何在Dockerfile中实现挂载本地AWS CLI凭证至容器？

首先要明确：docker run里的-v挂载是容器运行阶段的操作，而Dockerfile的RUN指令是镜像构建阶段执行的，两者不属于同一环节，没法直接把-v转换为RUN指令的写法。以下分两种场景给出解决方案：

场景1：构建镜像时需要访问AWS私有包（安装requirements.txt） #

如果是在构建镜像过程中就需要拉取AWS上的私有包，不能用运行时的挂载，推荐用以下两种安全的方式：

方法1：使用Docker BuildKit的秘密挂载（推荐） #

这种方式不会把AWS凭证写入镜像，安全性更高：

1. 启用Docker BuildKit（新版Docker默认已启用，未启用可在构建时指定）
2. 编写Dockerfile：

# syntax=docker/dockerfile:1.4
FROM python:3.10-slim

# 安装依赖工具（若需要AWS CLI）
RUN apt-get update && apt-get install -y --no-install-recommends awscli && rm -rf /var/lib/apt/lists/*

# 复制项目的requirements.txt到容器内
COPY requirements.txt .

# 挂载本地AWS凭证到容器内的指定路径，执行依赖安装
RUN --mount=type=secret,id=aws,target=/root/.aws \
    pip install --no-cache-dir -r requirements.txt

3. 执行构建命令：

DOCKER_BUILDKIT=1 docker build --secret id=aws,src=$HOME/.aws -t my-app-image .

方法2：通过构建参数传递凭证（适合临时场景） #

可以把AWS_ACCESS_KEY_ID和AWS_SECRET_ACCESS_KEY作为构建参数传入：

1. Dockerfile写法：

FROM python:3.10-slim

# 接收构建参数并设置为环境变量
ARG AWS_ACCESS_KEY_ID
ARG AWS_SECRET_ACCESS_KEY
ENV AWS_ACCESS_KEY_ID=$AWS_ACCESS_KEY_ID
ENV AWS_SECRET_ACCESS_KEY=$AWS_SECRET_ACCESS_KEY

COPY requirements.txt .
RUN pip install --no-cache-dir -r requirements.txt

2. 构建命令：

docker build --build-arg AWS_ACCESS_KEY_ID=$(aws configure get aws_access_key_id) \
             --build-arg AWS_SECRET_ACCESS_KEY=$(aws configure get aws_secret_access_key) \
             -t my-app-image .

注意：这种方式虽不会把凭证写入镜像，但构建参数可能留在构建历史中，敏感场景优先用方法1。

场景2：运行容器时需要使用AWS凭证 #

如果是在容器运行时才需要调用AWS服务，直接沿用你原来的-v挂载方式即可，比如运行自己构建的镜像：

docker run --rm -it -v ~/.aws:/root/.aws my-app-image

如果用Docker Compose，可以在docker-compose.yml中配置：

services:
  my-app:
    image: my-app-image
    volumes:
      - ~/.aws:/root/.aws

内容的提问来源于stack exchange，提问作者GBPU