如何在Mesos中爲容器級別訪問設置IAM角色

Question

我正在通過Mesos將我的微服務部署到EC2實例中。問題是我正在與其他團隊的微服務共享我的EC2實例。所有這些微服務處理差異S3桶，我們不希望其他人有機會獲得我們的桶。我需要將IAM角色分配給我的容器，以便只有我可以通過部署在EC2實例中的微服務訪問我的S3存儲桶。 我們沒有使用ECS，我們使用Mesos進行部署。任何輸入或評論表示讚賞。提前致謝。

Answer 1

這裏沒有本地AWS支持。在此期間，您可以使用Lyft的metadataproxy（另請參閱blog post）。

引述博客：

我們有一個想法，建立一個代理調用元數據服務上http://169.254.169.254一個Web服務，通​​過大多數的調用到真正的元數據服務，但捕獲調用的IAM端點。通過捕獲IAM端點，我們可以決定我們將交回哪些IAM憑證。

...

要知道哪些IAM角色應當假定，在metadataproxy訪問泊塢窗插座。當它收到請求時，它會根據請求IP查找容器，找到該容器的環境變量並使用IAM_ROLE環境變量的值作爲假定的角色。然後它使用STS承擔角色，在內存中緩存憑據（用於進一步的請求）並將它們返回給調用者。如果在內存中緩存的憑證設置爲過期，則代理將重新採用憑證。