Docker容器似乎"继承"了主机ec2的实例配置文件.怎么样？

Question

我们有一个在ec2主机上运行的docker容器.在该docker容器中,我们运行一些aws cli命令.我们尚未在容器中定义任何AWS凭据.这意味着容器继承了主机ec2的实例配置文件.

我的假设是真的吗？如果是这样,容器究竟如何继承实例配置文件凭据？其次(可能相关)aws cli究竟做了什么来获取实例配置文件凭据？它是否调用元数据端点(169.254.169.254)？例如,如果从环境变量中获取凭据,则凭证是硬编码的,可以看到,但实例配置文件的凭据实际驻留在哪里？

Answer 1

这是正确的,凭证是主机.正如您所怀疑的那样,它从元数据端点获取它们.

ec2metadataproxy是一种提供更窄访问权限的解决方案/解决方法.我还没用过它.

不幸的是,安全组访问也基于主机容器.