eltomato/awscli-kubectl

awscli-kubectl

这个Docker镜像集成了AWS CLI和Kubectl工具，并包含一个ECR Token-Kube Secret更新脚本（位于**/root/update-secret.sh**）。

镜像概述

本镜像提供AWS CLI和Kubectl的运行环境，内置脚本可将Amazon ECR的登录Token更新到Kubernetes Secret中，帮助在K8s集群中自动化管理ECR凭证，避免手动更新的繁琐。

核心功能

1. 集成AWS CLI和Kubectl工具，支持常规AWS与K8s操作；
2. 包含自动更新ECR Token到K8s Secret的脚本；
3. 支持通过Kubernetes CronJob定期执行凭证更新任务。

使用场景

1. Kubernetes集群需定期刷新Amazon ECR镜像仓库登录凭证；
2. 自动化管理ECR凭证，确保镜像拉取权限有效性；
3. Amazon EKS集群中结合AWS CLI进行操作的场景。

配置说明

准备AWS凭证Secret

将AWS凭证存储在Kubernetes Secret中：

yaml
kind: Secret
apiVersion: v1
metadata:
  name: aws-cli-user
  labels:
    app: aws-ecr-credentials-updater
stringData:
  aws_access_key_id: ___YOUR_AWS_ACCESS_KEY_ID___
  aws_secret_access_key: ___YOUR_AWS_SECRET___

创建CronJob定期更新

每8小时执行一次ECR Token更新：

yaml
apiVersion: batch/v1beta1
kind: CronJob
metadata:
  name: aws-ecr-credentials-updater
spec:
  schedule: "* */8 * * *"
  jobTemplate:
    spec:
      template:
        spec:
          containers:
          - name: awscli-kubectl
            image: eltomato/awscli-kubectl:latest
            imagePullPolicy: Always
            env:
            - name: AWS_DEFAULT_REGION
              value: eu-central-1
            - name: AWS_ACCOUNT
              value: ___YOUR_AWS_ACCOUNT_ID___
            - name: AWS_ACCESS_KEY_ID
              valueFrom:
                secretKeyRef:
                  name: aws-cli-user
                  key: aws_access_key_id
            - name: AWS_SECRET_ACCESS_KEY
              valueFrom:
                secretKeyRef:
                  name: aws-cli-user
                  key: aws_secret_access_key
            - name: KUBE_SECRET_NAME
              value: __SECRET_NAME_WHERE_CRON_SHOULD_STORE_THE_ECR_SECRET___
            args:
            - /bin/sh
            - -c
            - "aws eks update-kubeconfig --name ___YOUR_EKS_CLUSTER_NAME___ && /root/update-secret.sh"
          restartPolicy: Never

该示例通过CronJob每8小时获取ECR登录Token，并存储到指定K8s Secret中，确保集群正常拉取ECR镜像。您也可直接使用镜像中的AWS CLI和Kubectl工具进行其他操作。