amazon-ecs - 在ECS上将RDS密码获取到Docker容器的最佳实践-6ren

amazon-ecs - 在ECS上将RDS密码获取到Docker容器的最佳实践

转载作者：行者123 更新时间：2023-12-04 09:58:36

29

4

我正在使用Postgres Amazon RDS和Amazon ECS运行我的Docker容器。
问题是。将RDS数据库的用户名和密码放入ECS上运行的docker容器的最佳实践是什么？

我看到一些选择:

将凭据构建到docker镜像中。我不喜欢这样，因为这样每个有权访问该图像的人都可以获取密码。

将凭据放入ECS自动伸缩组使用的启动配置的用户数据中。通过这种方法，在我的ECS群集上运行的所有docker镜像都可以访问凭据。我也不是很喜欢这样，如果黑帽在我的任何服务(甚至不使用数据库的服务)中发现安全漏洞，他将能够获取数据库的凭据。

将凭据放入S3中，并使用ECS服务器具有的IAM角色来限制对该存储桶的访问。与将它们放入用户数据的缺点相同。

将凭据放入ECS的任务定义中。我在这里没有看到任何缺点。

您对执行此操作的最佳方式有何看法？我有错过任何选择吗？

问候，
托比亚斯

最佳答案

永远不要建议将其构建到容器中。使其难以分发和更改。

将其放入ECS实例并不能帮助您的容器使用它。它们是孤立的，您最终将在所有实例上使用它们，而不仅仅是需要它们的容器所在的位置。

将它们放入S3意味着您必须将该功能写入容器。这是进行配置的另一个地方。

建议将它们放入您的任务定义中。您可以为此使用environment部分。它很灵活。这也是诸如Heroku和Elastic Beanstalk之类的PaaS产品如何将DB连接字符串用于Ruby on Rails和其他服务的方法。最后一个好处是，它可以轻松地针对不同的数据库(例如，开发，测试，生产)使用您的容器，而无需重建容器或构建怪异的功能

关于amazon-ecs - 在ECS上将RDS密码获取到Docker容器的最佳实践，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/37133437/

29

4

0

文章推荐： Tensorflow:如何关闭Tensorboard服务器

文章推荐： scala - Spark Scala了解reduceByKey(_ + _)

文章推荐： java-8 - 如何在JOOQ中编写OPTIONAL where子句

文章推荐： xamarin - 将GestureRecognizer添加到gridview中的行

javascript - 单击 [提交] -> 隐藏 DIV 容器 1 -> 显示 DIV 容器 2 -> 加载在 DIV 容器 2 中的 .PHP 文件中找到的 DIV
这是我想做的 1 - 点击提交 2 - 隐藏 DIV 容器 1 3 - 显示 DIV 容器 2 4 - 将“PricingDisclaimer.php”中找到的所有 DIV 加载到 Div 容器 2
ios - 如何访问另一个应用程序的 iCloud 容器(使用另一个开发人员配置文件开发的应用程序和在该配置文件中创建的 icloud 容器)？
我有一个 ios 应用程序，它使用 iCloudcontainer 来保存用户的一些数据，例如用户的“到期日期”。我要用不同的方式创建应用程序的副本开发者账号。我要将用户从第一个应用程序迁移到第二个应
docker - 如何从一个 docker 容器 ssh 到另一个 docker 容器？
这是场景。我有三个容器。 Container1、container2 和 container3(基于 Ubuntu 的镜像)，其中 container2 充当容器 1 和容器 2 之间的路由器。我
java - 容器是什么意思？ Web 容器、JSP 容器还是 Spring 容器？
关闭。这个问题需要多问focused 。目前不接受答案。想要改进此问题吗？更新问题，使其仅关注一个问题 editing this post . 已关闭 9 年前。 Improve this ques
docker - Jenkins:从与代理(另一个 Docker 容器)一起运行的阶段连接到 Docker 容器
我正在改造管道以使用声明式管道方法，以便我能够 to use Docker images在每个阶段。目前我有以下工作代码，它执行连接到在 Docker 容器中运行的数据库的集成测试。 node {
java - 部署到 Web 容器、捆绑 Web 容器或嵌入 Web 容器
我正在开发一个需要尽可能简单地为最终用户安装的应用程序。虽然最终用户可能是经验丰富的 Linux 用户(或销售工程师)，但他们对 Tomcat、Jetty 等并不真正了解，我认为他们也不应该了解。所
kubernetes - 无法获取cpu pod指标，k8s-容器-容器-shim-runsc-v1-gvisor
我从gvisor-containerd-shim(Shim V1)移到了containerd-shim-runsc-v1(Shim V2)。在使用gvisor-containerd-shim的情况下，
docker-compose - docker 容器 A 可以使用什么 URL 访问另一个 docker 容器 B(相同的开发机器，不同的项目)
假设我们只在某些开发阶段很少需要这样做(冒烟测试几个 api 调用)，让项目 Bar 中的 dockerized web 服务访问 Project Foo 中的 dockerized web 服务的最
docker - 使用 Windows 容器(而不是 Linux 容器)时如何在 Docker for Windows 10 中创建数据卷
各位，我的操作系统是 Windows 10，运行的是 Docker 版本 17.06.0-ce-win19。我在 Windows 容器中运行 SQL Server Express，并且希望将 SQL
Azure 容器
谁能告诉我，为什么我们不能在 Azure 存储中的容器内创建容器？还有什么方法可以处理，我们需要在 azure 存储中创建目录层次结构？最佳答案您无法在容器中创建容器，因为 Windows Azu
另一个容器内的c++容器
#include template struct Row { Row() { puts("Row default"); } Row(const Row& other) { puts
tomcat - 容器
按照目前的情况，这个问题不适合我们的问答形式。我们希望答案得到事实、引用或专业知识的支持，但这个问题可能会引发辩论、争论、投票或扩展讨论。如果您觉得这个问题可以改进并可能重新打开，visit the
06、RDF 容器
RDF容器用于描述一组事物例如，把一本书的所有作者列在一起 RDF容器有三种类型： <Bag> <Seq> <Alt> <rdf:
仅当基础类型执行相等时才实现相等的 F# 容器
编辑:从到目前为止添加的答案和评论看来，我没有正确解释我想要什么。下面是一个例子: // type not supporting any type of comparison [] [] type b
php - 有没有办法在子进程中传递服务/容器？
我正在测试 spatie 的异步项目。我创建了一个这样的任务。 use Spatie\Async\Task; class ServiceTask extends Task { protecte
Azure Blob 容器
我想使用 Azure Blob 存储来上传和下载文档。有一些公司可以上传和下载他们的文档。我想保证这些文件的安全。这意味着公司只能看到他们的文件。不是别人的。我可以在 blob 容器中创建多个文件夹
Azure 容器 - 与远程容器实例上的文件交互
我正在尝试与 Azure 中的容器实例进行远程交互。我已执行以下步骤: 已在本地注册表中加载本地镜像 docker load -i ima.tar 登录远程 ACR docker登录--用户名--密码
docker - 带有Dockerfile项目的Dokku多进程(容器)
我正在研究http://progrium.viewdocs.io/dokku/process-management/，并试图弄清楚如何从单个项目中运行多个服务。我有一个Dockerfile的仓库:
依赖于其他容器中的文件的 Docker 容器
我有一个想要容器化的单体应用程序。文件夹结构是这样的: --app | |-file.py <-has a variable foo that is passed in --configs
保留数据的 Docker 容器
我正在学习 Docker，并且一直在为 Ubuntu 容器制作 Dockerfile。我的问题是我不断获取不同容器之间的持久信息。我已经退出，移除了容器，然后移除了它的图像。在对 Dockerfil

首页

博学

6Ren·AI

商城

amazon-ecs - 在ECS上将RDS密码获取到Docker容器的最佳实践