What is the best way to pass AWS credentials to a Docker container? Ask Question

A lot has changed in Docker since this question was asked, so here's an attempt at an updated answer.

First, specifically with AWS credentials on containers already running inside of the cloud, using IAM roles as Vor suggests is a really good option. If you can do that, then add one more plus one to his answer and skip the rest of this.

Once you start running things outside of the cloud, or have a different type of secret, there are two key places that I recommend against storing secrets:

1. Environment variables: when these are defined on a container, every process inside the container has access to them, they are visible via /proc, apps may dump their environment to stdout where it gets stored in the logs, and most importantly, they appear in clear text when you inspect the container.

2. In the image itself: images often get pushed to registries where many users have pull access, sometimes without any credentials required to pull the image. Even if you delete the secret from one layer, the image can be disassembled with common Linux utilities like tar and the secret can be found from the step where it was first added to the image.

So what other options are there for secrets in Docker containers?

オプション A:このシークレットが必要なのはイメージのビルド中だけで、ビルド開始前にシークレットを使用できず、BuildKit にまだアクセスできない場合は、マルチステージ ビルドが最善の選択肢です。ビルドの初期ステージにシークレットを追加してそこで使用し、そのステージの出力をシークレットなしでリリース ステージにコピーして、そのリリース ステージのみをレジストリ サーバーにプッシュします。このシークレットはビルド サーバーのイメージ キャッシュに残っているため、私はこれを最後の手段としてのみ使用します。

オプション B:また、ビルド時に、18.09 でリリースされた BuildKit を使用できる場合は、現在、単一の RUN 行のボリューム マウントとしてシークレットを挿入できる実験的な機能があります。そのマウントはイメージ レイヤーに書き込まれないため、パブリック レジストリ サーバーにプッシュされることを心配することなく、ビルド中にシークレットにアクセスできます。結果の Dockerfile は次のようになります。

# syntax = docker/dockerfile:experimental
FROM python:3
RUN pip install awscli
RUN --mount=type=secret,id=aws,target=/root/.aws/credentials aws s3 cp s3://... ...

DOCKER_BUILDKIT=1 docker build -t your_image --secret id=aws,src=$HOME/.aws/credentials .

docker run -v $HOME/.aws/credentials:/home/app/.aws/credentials:ro your_image

version: '3'
services:
  app:
    image: your_image
    volumes:
    - $HOME/.aws/credentials:/home/app/.aws/credentials:ro

version: '3.7'

secrets:
  aws_creds:
    external: true

services:
  app:
    image: your_image
    secrets:
    - source: aws_creds
      target: /home/user/.aws/credentials
      uid: '1000'
      gid: '1000'
      mode: 0700