如何自动将S3对象直接复制到EKS Pod的指定目录

EKS环境下无需中转节点/中转存储，直接将S3对象拷贝到Pod内目标目录，有3种经过生产验证的可行方案，全程由Pod直接和S3服务端点通信，没有额外转发开销：

适合一次性将S3静态文件拷贝到Pod目录的场景，不需要修改原有业务镜像，文件拷贝完成后业务容器才会启动。

• 前置配置：给Pod关联的Kubernetes Service Account绑定EKS IRSA（IAM Roles for Service Accounts）权限，给对应IAM角色授予目标S3桶的s3:ListBucket、s3:GetObject权限，全程无需硬编码AK/SK。
• 核心逻辑是给Pod加一个初始化容器，初始化容器和业务容器挂载同一个共享存储卷，初始化容器启动时执行S3拷贝命令将文件写入共享卷，业务容器启动后直接从挂载路径读取文件即可。
• 配置示例：

apiVersion: v1
kind: Pod
metadata:
  name: business-app
spec:
  serviceAccountName: eks-s3-reader-sa # 已绑定S3只读权限IRSA的服务账号
  initContainers:
  - name: s3-copy
    image: public.ecr.aws/aws-cli/aws-cli:stable
    command:
      - /bin/sh
      - -c
      - |
        aws s3 cp s3://替换为你的S3桶名/待拷贝的对象前缀/ /target/ --recursive
        # 按需加权限修正，避免业务进程无读权限
        chown -R 1000:1000 /target/
    volumeMounts:
    - name: app-storage
      mountPath: /target
  containers:
  - name: business-app
    image: 替换为你的业务镜像地址
    volumeMounts:
    - name: app-storage
      mountPath: /业务应用需要的目标目录绝对路径
  volumes:
  - name: app-storage
    emptyDir: {} # 需要文件持久化的话替换为EBS/EFS对应的PVC即可

• 调优提示：批量传大文件时可以给cp命令加--concurrency 10参数调高并发数，只同步特定类型文件可以搭配--include "*.conf" --exclude "*"参数做过滤。

如果S3桶内的文件会持续更新，需要同步增量改动到运行中的Pod目录，可以用Sidecar容器和业务容器共卷的方式实现常驻同步。

• 前置权限配置和方案1一致，不需要修改业务镜像。
• Sidecar容器常驻后台，按配置的间隔执行s3 sync命令拉取S3侧的新增/更新文件，需要删除本地和S3不一致的文件时可以加--delete参数。
• 核心配置片段：

containers:
# 业务容器配置和方案1一致
- name: s3-sync-sidecar
  image: public.ecr.aws/aws-cli/aws-cli:stable
  command:
    - /bin/sh
    - -c
    - |
      while true; do
        aws s3 sync s3://替换为你的S3桶名/同步前缀/ /target/ --exclude "*.tmp"
        sleep 30 # 同步间隔按业务需求调整，单位秒
      done
  volumeMounts:
  - name: app-storage
    mountPath: /target

• 对同步延迟要求极高的场景，可以搭配S3事件通知触发Sidecar拉取，简单场景定时sync足够用，资源开销极低。

如果你可以自主构建业务镜像，也可以直接把S3拷贝逻辑内置到容器启动流程中，不需要额外添加附属容器。

• 构建业务镜像时提前预装aws-cli工具，在容器启动入口脚本中先执行S3拷贝命令，文件拉取完成后再启动业务主进程。
• Dockerfile示例片段：

# 以Debian基础镜像为例
RUN apt update && apt install -y awscli && rm -rf /var/lib/apt/lists/*
COPY entrypoint.sh /entrypoint.sh
RUN chmod +x /entrypoint.sh
ENTRYPOINT ["/entrypoint.sh"]

• 入口脚本entrypoint.sh示例：

#!/bin/bash
set -e
# 拉取S3文件到目标目录
aws s3 sync s3://替换为你的S3桶名/文件前缀/ /app/target-dir/ --recursive
# 启动业务主进程
exec 替换为你的业务启动命令，比如exec node /app/index.js

避坑提示：

• 不要用EC2工作节点的IAM角色给S3授权，权限粒度过粗，存在越权风险，优先用IRSA做Pod级别的权限隔离
• 单文件大于5G时aws cli会自动触发分段下载，不需要额外配置，只要保障Pod有足够的内存缓存分段数据即可
• 如果Pod用的是默认VPC CNI，建议给S3端点配置VPC Endpoint，S3流量走AWS内网，不产生公网流量费用，速度也更快

内容的提问来源于stack exchange，提问作者Piyush Mittal