能否在AWS容器部署数据科学应用并对接Redshift、MongoDB等数据库

可行性确认 #

完全可以实现对接，你在AWS官方文档看到的EFS、EBS仅属于容器服务的持久化存储卷可选方案，针对的是需要把容器内产生的本地数据持久化保存的场景，和应用对接外部数据库服务的逻辑完全独立，互不冲突。
无论是使用ECS还是EKS作为容器部署平台，都可以正常对接Redshift、Amazon DocumentDB（AWS官方兼容MongoDB协议的托管服务）、RDS等全品类AWS托管数据库，不需要做底层架构的额外改造。

通用对接实现流程 #

• 第一步：网络链路打通
  • 确认容器集群所在VPC与目标数据库所在VPC网络可达，同VPC场景下直接配置安全组规则即可，跨VPC场景可通过VPC对等连接、Transit Gateway完成网络打通
  • 在数据库侧的安全组入站规则中，放行容器集群所在安全组/IP段对数据库服务端口的访问权限（Redshift默认端口5439，DocumentDB默认端口27017）
• 第二步：访问凭证安全配置
  • 禁止将数据库账号密码硬编码到容器镜像或部署配置文件中，统一使用AWS Secrets Manager存储敏感凭证
  • 为容器对应的执行角色（ECS Task Role / EKS Pod IAM Role）配置Secrets Manager的只读权限，容器启动时主动调用接口拉取凭证，避免明文泄露
• 第三步：应用侧适配
  • 对接Redshift直接使用标准PostgreSQL驱动即可，在应用配置中填写Redshift集群终端节点、端口、数据库名称，搭配从Secrets Manager拉取的账号密码即可建立连接
  • 对接MongoDB场景直接使用Amazon DocumentDB，该服务完全兼容MongoDB原生API，仅需将应用中原有的MongoDB连接地址替换为DocumentDB的集群终端节点即可，无需修改业务代码
• 第四步：权限最小化配置
  • 遵循最小权限原则为容器IAM角色配置授权：例如需要从Redshift导出数据到S3时，仅开放对应Redshift库表的读写权限、目标S3路径的读写权限即可，不要过度授权
  • 非必要不开启数据库的公网访问能力，所有容器到数据库的访问都走VPC内部链路，降低安全暴露风险
• 第五步：连通性验证
  • 可先启动临时调试容器，在容器内用telnet/nc命令测试数据库端口的连通性，再使用对应数据库的CLI工具验证读写逻辑正常后，再上线正式业务容器

内容的提问来源于stack exchange，提问作者user1640555533423