我可以通过挂载目录将AWS凭据提供给由sbt-nate-pack ager构建的本地Docker容器吗

Question

我们有一些使用 sbt 原生打包程序构建的 Docker 映像，这些映像需要与 AWS 服务进行交互。在 AWS 外部运行它们时，我们需要显式提供凭证。

我知道我们可以显式传递包含 AWS 凭证的环境变量。这样做会使我们的凭据保密变得复杂。一种选择是通过命令行提供它们，通常将它们存储在我们的shell历史记录中（是的，我知道这可以通过在命令的开头添加空格来避免，但这很容易忘记），并将它们置于意外复制/粘贴共享的更高风险中。或者，我们可以通过 env 文件提供它们。但是，这让我们有可能将它们签入版本控制或无意中将它们推送到另一台服务器。

我们发现理想的做法是挂载我们的本地< code>~/。aws/目录放入docker容器的运行用户主目录中。然而，我们试图让它与sbt-native-packager映像一起工作，但没有成功。

与我们的其他映像相比，sbt-nate-Packager映像的一个独特细节是它们是使用docker的ENTRYPOINT而不是CMD来启动应用程序构建的。我不知道这是否与问题有关。

那么问题来了：是否可以通过在启动时通过命令行参数挂载 AWS 凭证文件夹，向由 sbt-本机打包程序创建的 Docker 容器提供 AWS 凭证？

Answer 1

我不太确定为什么要安装< code>~/。aws会是一个问题——通常它可能与该目录上的读取权限以及主机系统和容器之间的不同UID有关。

也就是说，我可以提出几个解决方法：

>

使用环境变量文件，而不是在命令行中显式指定它们。在文档管理器运行中，可以通过指定 --env-文件来执行此操作。对我来说，这听起来像是最简单的方法。

挂载不同的凭据文件，并提供< code>AWS_CONFIG_FILE环境变量来指定其位置。

Answer 2

我遇到的问题与权限有关。<代码>。aws文件在我的机器上的访问权限非常有限，sbt-native-packager映像中的默认用户是< code>daemon。当装入容器时，该用户无权读取我的文件。

我能够通过将以下标志添加到我的 Docker 运行命令来获得我想要的行为： -v ~/.aws/：/根/.aws/ --user=root

我能够通过在运行以查看 HOME 环境变量（挂载 /.aws/ 文件夹的位置）并尝试对已挂载文件夹的内容进行 cat 时使用 --entrypoint=ash 标志来发现这一点。

现在，我只需要了解以这种方式运行docker容器会给自己带来哪些安全漏洞。