MWAA中kube_config.yaml文件的合理存放位置是哪里？

官方示例中将kube_config.yaml放在dags/目录的写法仅为快速演示用，完全不适合生产环境长期使用，这个写法的核心问题包括：

• DAG目录会被Airflow定时全量扫描、解析，非DAG文件放在这里会平白增加解析负载，甚至可能触发解析错误
• 权限边界模糊，所有能访问DAG目录的任务、用户都能读取EKS访问凭证，泄露风险高
• 配置和DAG代码生命周期强绑定，后续更新kubeconfig必须走DAG发布同步流程，运维灵活性差

以下是经过生产验证的落地方案，按推荐优先级排序： #

优先级最高：移除静态kubeconfig，通过IAM角色直连EKS #

这是AWS原生支持的无文件方案，完全不需要在MWAA环境里落地任何kubeconfig文件：

1. 将MWAA环境绑定的执行角色添加到EKS集群的aws-auth配置映射中，绑定对应RBAC权限
2. DAG中调用Kubernetes相关Operator/Hook时，直接配置使用AWS STS身份认证，运行时会自动通过MWAA环境的原生IAM身份获取临时访问凭证对接EKS

该方案全程使用自动轮换的临时凭证，没有静态文件泄露风险，权限管控完全对齐IAM体系，是生产环境的首选方案。官方示例没写这个逻辑，只是为了降低入门门槛、减少示例代码量。

次选：S3专属配置目录存放 #

如果确实需要保留静态kubeconfig文件（比如对接非AWS托管的K8s集群、需要自定义特殊证书配置），不要放在dags/目录：

1. 在MWAA绑定的S3存储桶中，创建和dags/目录平级的独立目录（比如k8s_config/），专门存放kubeconfig文件
2. 通过MWAA环境的启动脚本配置，将该目录下的文件同步到Airflow运行环境的非DAG扫描路径，比如/usr/local/airflow/extras/config/
3. 给S3上的配置目录配置独立的IAM权限策略，仅授权需要访问该配置的角色读取，和DAG目录的访问权限拆分
4. DAG中直接引用同步后的非DAG路径即可，比如/usr/local/airflow/extras/config/kube_config.yaml
   这个方案下配置文件和DAG代码完全解耦，更新kubeconfig不需要触发全量DAG同步，也不会被DAG解析器扫描加载。

高安全要求场景：密钥管理服务托管，运行时动态拉取 #

如果对凭证安全等级要求更高，可以完全不在持久化存储中留存kubeconfig文件：

1. 将kubeconfig的完整内容作为密钥存入AWS Secrets Manager，配置自动轮换策略
2. DAG任务启动时，通过MWAA执行角色的权限拉取对应密钥内容，临时写入/tmp目录下的随机文件名文件，任务执行完成后立即删除
3. Kubernetes相关组件直接读取临时路径的配置完成集群连接
   这个方案下静态凭证全程不会落到持久化存储，权限管控粒度最细，适合安全合规要求高的场景。

内容的提问来源于stack exchange，提问作者LondonRob