如何在Docker容器中通过saml2aws登录时加载AWS配置文件

绝对不要把AWS凭证文件复制到镜像中。所有Dockerfile执行的复制、写入操作都会生成持久化镜像层，只要拿到镜像文件就能提取出里面存的密钥，不管是本地留存还是误推送到公开镜像仓库，都会造成严重的权限泄露风险。容器访问本地AWS配置完全可以通过不触碰镜像层的方式实现。

这是最适配saml2aws临时凭证场景的方案，凭证全程存储在你的本地机器，不会进入镜像，本地刷新凭证后容器内自动同步，不需要额外操作：

• 本地通过saml2aws登录后，所有profile配置、临时密钥默认存在~/.aws/目录下，其中config文件存profile的区域等配置，credentials文件存生成的临时访问密钥
• 启动容器时，将本地的.aws目录直接挂载到容器内运行程序的用户对应的home目录下的.aws路径，同时指定AWS_PROFILE环境变量告诉boto3加载目标配置即可，启动命令示例：

# 如果容器内用root用户运行app.py，直接挂载到/root/.aws
docker run -v ~/.aws:/root/.aws -e AWS_PROFILE=my_profile your-built-image-tag

• 如果你的容器内用非root用户（比如自定义的appuser用户运行服务），把挂载目标路径替换为对应用户的home目录即可，例如挂载到/home/appuser/.aws
• 如果你用docker compose启动服务，只需要在服务配置里添加对应挂载和环境变量即可，逻辑和docker run完全一致：

services:
  your-app:
    build: .
    volumes:
      - ~/.aws:/root/.aws
    environment:
      - AWS_PROFILE=my_profile

如果不想挂载本地目录，可以在容器启动时直接把当前生效的临时凭证通过环境变量传入，boto3会自动读取这些环境变量完成认证，不需要读取本地配置文件：

• 先在本地执行以下三条命令，拿到my_profile对应的当前有效临时凭证：

aws configure get aws_access_key_id --profile my_profile
aws configure get aws_secret_access_key --profile my_profile
aws configure get aws_session_token --profile my_profile

• 启动容器时把拿到的三个凭证值+区域作为环境变量传入即可：

docker run \
  -e AWS_ACCESS_KEY_ID=上一步拿到的访问密钥ID \
  -e AWS_SECRET_ACCESS_KEY=上一步拿到的访问密钥 \
  -e AWS_SESSION_TOKEN=上一步拿到的会话token \
  -e AWS_DEFAULT_REGION=us-east-1 \
  your-built-image-tag

• 这个方案的缺点是saml2aws生成的是临时凭证，过期后你每次重新登录刷新凭证，都要重新传入新的环境变量值，日常本地开发用起来比挂载目录麻烦很多。

你贴的app.py里有个会导致运行报错的笔误：初始化session时变量名定义为my_session，后续创建client时错写为session，修正后的代码如下：

import boto3

my_session = boto3.session.Session(profile_name="my_profile")
aws_client = my_session.client('s3', region_name='us-east-1')

内容的提问来源于stack exchange，提问作者ozil