amazon-web-services - IAM 角色不适用于 golang Docker 容器

Question

仅供引用，我对 docker 比较陌生，但在 go 和 aws 方面经验丰富。

我正在使用 docker 容器构建我的 golang 应用程序(用于弹性 beanstalk)，并将 golang:1.12.7 作为我的基础镜像。我通过构建一个基础镜像来使用多阶段 docker 构建，然后从头开始复制我的 golang 二进制文件，以将我的最终镜像从 1gb 减少到 11 mb。

一切都正确编译并且能够运行 docker 镜像；但是，当我使用多阶段构建时，我的 IAM 角色不起作用，并且 docker 镜像无法连接或检索我的 IAM 角色中定义的 aws 服务的数据。

当我构建基础镜像时，没有从头开始，IAM 角色工作正常并且可以从 aws 检索数据，但我剩下一个 1gb 的 docker 镜像。

除了下面两个 Dockerfile 的差异之外，我没有更改任何其他 aws 配置、网络、安全组、iam 角色等。

# Dockerfile produces image (11mb) but IAM roles don't work:
FROM golang:1.12.7 as builder #golang version
ENV GOPATH="/app" # set new gopath

# setup initial container
RUN mkdir /app
WORKDIR /app/src/appDirectory
COPY ./appDirectory/ /app/src/appDirectory

RUN go get -u github.com/aws/aws-sdk-go # get go dependencies

RUN CGO_ENABLED=0 GOOS=linux GOARCH=amd64 go build -o appDirectory # compile to binary

# create new container from scratch to reduce size of image
FROM scratch
COPY --from=builder /app/src/appDirectory /app/

ENTRYPOINT ["/app/appDirectory"]

# Dockerfile produces image (1gb) and IAM roles work:
FROM golang:1.12.7 as builder #golang version

ENV GOPATH="/app" # set new gopath

# setup initial container
RUN mkdir /app
WORKDIR /app/src/appDirectory
COPY ./appDirectory/ /app/src/appDirectory

RUN go get -u github.com/aws/aws-sdk-go # get go dependencies

RUN CGO_ENABLED=0 GOOS=linux GOARCH=amd64 go build -o appDirectory # compile to binary

ENTRYPOINT ["./appDirectory"]

我的假设是没有从基础 docker 镜像中复制某些东西，这导致 IAM 角色无法正常工作，但我还没有弄清楚为什么会这样。

此外，出于多种原因，我更愿意使用 IAM 角色而不是编程访问 key 。

预先感谢您提供的任何帮助:)

Answer 1

当我从我的 docker 文件 COPY --from=builder/etc/etc 中的基本镜像复制/etc 文件夹时，iam 角色正常工作，最终镜像只会增长到11.6mb。但是，我不确定为什么会这样。有人可以解释一下吗。