如何将AWS角色提供的临时凭证传递至本地Docker容器

我来帮你搞定这个需求——要让Docker容器复用本地的AWS配置来获取dev角色的临时凭证，核心是挂载本地的AWS配置目录到容器，同时确保容器里的AWS CLI能正确处理角色切换。下面是完整的实现步骤：

1. 完善Dockerfile #

你的基础镜像选了docker:17.04.0-ce（基于Alpine），我们需要补充安装AWS CLI（自带CloudFormation部署命令）和必要依赖：

FROM docker:17.04.0-ce

# 更新包源并安装依赖：python3、pip、bash（可选但提升操作体验）
RUN apk update && apk add --no-cache python3 py3-pip bash \
    && pip3 install --upgrade pip \
    # 安装AWS CLI（包含所有CloudFormation操作命令）
    && pip3 install awscli

# 设置工作目录，方便挂载本地CF模板
WORKDIR /workspace

# 可选：默认指定AWS_PROFILE，避免每次命令重复加--profile dev
ENV AWS_PROFILE=dev

2. 构建Docker镜像 #

执行下面的命令构建镜像（替换成你想要的镜像名和标签）：

docker build -t aws-cf-deployer:latest .

3. 运行容器并挂载本地配置 #

关键是把本地的~/.aws目录挂载到容器的/root/.aws（因为容器默认用root用户，AWS CLI会读取这个路径下的配置），同时挂载本地的工作目录方便访问CF模板：

交互式运行（方便调试和多次操作） #

docker run -it --rm \
  -v ~/.aws:/root/.aws \
  -v $(pwd):/workspace \
  aws-cf-deployer:latest \
  bash

进入容器后，先验证凭证是否生效：

aws sts get-caller-identity

如果返回的是test-deploy-role的ARN，说明已经成功获取临时凭证了。接下来直接执行CloudFormation部署命令：

aws cloudformation deploy \
  --template-file your-template.yml \
  --stack-name your-dev-stack \
  --capabilities CAPABILITY_NAMED_IAM  # 根据你的模板需求添加权限参数

直接执行部署命令（非交互式） #

如果不需要进入容器，直接一次性执行部署：

docker run --rm \
  -v ~/.aws:/root/.aws \
  -v $(pwd):/workspace \
  aws-cf-deployer:latest \
  aws cloudformation deploy \
    --template-file your-template.yml \
    --stack-name your-dev-stack \
    --capabilities CAPABILITY_NAMED_IAM

关键注意事项 #

• 确保本地~/.aws/credentials里有default配置（access key和secret key），因为dev profile的source_profile=default需要用它来发起角色切换请求。
• 如果你的容器用非root用户，要调整挂载路径到对应用户的~/.aws（比如/home/user/.aws），并确保权限正确。
• Alpine镜像默认用sh，安装bash是为了更方便的命令补全和脚本执行，如果你不需要可以去掉。

内容的提问来源于stack exchange，提问作者fledgling