如何为Minikube集群配置AWS凭证以访问S3资源

核心问题拆解 #

1. STS AssumeRole权限拒绝：本地Docker运行正常但Kubernetes中失败，说明IAM用户权限、目标角色信任策略存在配置问题，或K8s环境中实际使用的凭证与本地不一致。
2. 凭证找不到错误：在kube-system创建的Secret不会自动被Pod加载，必须显式挂载到Job的Pod中，否则boto3无法读取凭证。

解决方案 #

一、修复STS AssumeRole权限问题 #

1. 检查IAM用户权限策略

确保你的IAM用户拥有sts:AssumeRole权限，策略示例：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "sts:AssumeRole",
            "Resource": "arn:aws:iam::ACCOUNT_ID:role/YOUR_TARGET_ROLE"
        }
    ]
}

2. 检查目标角色的信任策略

目标IAM角色必须允许你的用户ARN进行角色切换，信任策略示例：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::ACCOUNT_ID:user/YOUR_USER"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

额外排查点：如果本地正常但K8s失败，检查目标角色的信任策略是否限制了源IP（比如仅允许内网），而Minikube节点的公网IP不在允许范围内。

二、正确在Kubernetes Job中传递AWS凭证 #

kube-system下的Secret不会自动被Pod使用，需通过以下方式显式挂载：

方式1：通过环境变量传递凭证

修改Job YAML，将Secret中的凭证注入容器环境变量（boto3会自动读取这些变量）：

apiVersion: batch/v1
kind: Job
metadata:
  name: s3-download-job
spec:
  template:
    spec:
      containers:
      - name: s3-worker
        image: your-image:tag
        env:
        - name: AWS_ACCESS_KEY_ID
          valueFrom:
            secretKeyRef:
              name: aws-secret
              key: key_id
        - name: AWS_SECRET_ACCESS_KEY
          valueFrom:
            secretKeyRef:
              name: aws-secret
              key: access_key
      restartPolicy: OnFailure

此方式无需执行aws configure import命令。

方式2：挂载到AWS默认凭证路径

将Secret挂载到容器的~/.aws/credentials路径，符合AWS凭证读取规范：

apiVersion: batch/v1
kind: Job
metadata:
  name: s3-download-job
spec:
  template:
    spec:
      containers:
      - name: s3-worker
        image: your-image:tag
        volumeMounts:
        - name: aws-credentials
          mountPath: /root/.aws
          readOnly: true
      volumes:
      - name: aws-credentials
        secret:
          secretName: aws-secret
          items:
          - key: credentials
            path: credentials
            mode: 0600
      restartPolicy: OnFailure

注意：需提前创建符合格式的Secret：

kubectl create secret generic aws-secret \
  --from-file=credentials=/path/to/your/local/.aws/credentials

本地credentials文件格式：

[default]
aws_access_key_id = YOUR_KEY
aws_secret_access_key = YOUR_SECRET

三、安全最佳实践 #

不要将my-credsfile打包进Docker镜像，这会导致凭证泄露且难以管理。使用Kubernetes Secret传递凭证是更安全、可维护的方式。

内容的提问来源于stack exchange，提问作者Raviteja Badugu