docker-kubectl-awscli

镜像概述和主要用途

docker-kubectl-awscli 是一个集成了 kubectl、kubesec 和 awscli 工具的 Docker 镜像。基于 Alpine 版本的 Python 2 构建，兼顾轻量性与功能完整性，可提供无冗余的一站式工具环境。主要用途包括 Kubernetes 集群管理、Kubernetes 资源安全扫描及 AWS 云服务操作。

核心功能和特性

集成工具

• kubectl：Kubernetes 命令行工具，用于管理 K8s 集群资源（如部署、服务、Pod 等）。
• kubesec：Kubernetes 资源配置安全扫描工具，检测部署配置中的安全风险（如权限过高、镜像漏洞等）。
• awscli：AWS 命令行工具，用于操作 AWS 云服务（如 S3、EC2、IAM 等资源）。

基础镜像优势

• 基于 Alpine Linux 和 Python 2，镜像体积小、启动速度快。
• 保留核心功能的同时剔除冗余组件，适合资源受限环境。

版本控制

提供多版本标签，工具版本明确可控，满足不同环境兼容性需求。

版本信息

使用场景和适用范围

DevOps 工作流集成

• CI/CD 管道：在自动化部署流程中执行 kubectl 资源部署、awscli 资源上传（如 S3 资产推送）及 kubesec 安全扫描。
• 多环境统一工具链：避免因开发/生产环境工具版本差异导致的兼容性问题。

本地开发与调试

• 快速搭建隔离的 K8s/AWS 操作环境，无需在本地系统安装工具依赖。

Kubernetes 安全审计

• 使用 kubesec 扫描本地或集群中的 K8s 资源配置文件，识别安全风险（如未限制特权、使用最新镜像标签等）。

多账户/集群管理

通过挂载不同配置文件（如 kubeconfig、AWS 凭证），快速切换 K8s 集群或 AWS 账户上下文。

使用方法和配置说明

拉取镜像

需指定具体版本标签（如 v1.11.2），示例命令：

docker pull [镜像仓库地址]/docker-kubectl-awscli:v1.11.2
# 注：请将 [镜像仓库地址] 替换为实际镜像仓库（如 Docker Hub 用户名或私有仓库地址）

运行容器

1. 交互式模式（进入容器 shell）

docker run -it --rm [镜像仓库地址]/docker-kubectl-awscli:v1.11.2 sh

进入后可直接使用工具：

# 验证工具版本
kubectl version --client
aws --version
kubesec version

2. 执行单条命令

直接在容器中运行工具命令，执行后自动退出：

# 查看 kubectl 客户端版本
docker run --rm [镜像仓库地址]/docker-kubectl-awscli:v1.11.2 kubectl version --client

# 扫描本地 K8s 部署文件（需挂载文件到容器）
docker run --rm -v $(pwd)/deployment.yaml:/deployment.yaml [镜像仓库地址]/docker-kubectl-awscli:v1.11.2 kubesec scan /deployment.yaml

# 列出 AWS S3 存储桶（需配置 AWS 凭证）
docker run --rm -e AWS_ACCESS_KEY_ID=xxx -e AWS_SECRET_ACCESS_KEY=xxx -e AWS_REGION=us-east-1 [镜像仓库地址]/docker-kubectl-awscli:v1.11.2 aws s3 ls

3. 挂载配置文件（推荐）

挂载本地配置文件到容器，避免重复输入凭证或集群信息：

# 挂载 K8s 配置（~/.kube/config）和 AWS 凭证（~/.aws/credentials）
docker run -it --rm \
  -v ~/.kube/config:/root/.kube/config \       # K8s 集群配置
  -v ~/.aws/credentials:/root/.aws/credentials \ # AWS 凭证
  [镜像仓库地址]/docker-kubectl-awscli:v1.11.2 sh

进入容器后可直接操作目标 K8s 集群或 AWS 账户。

Docker Compose 配置示例

创建 docker-compose.yml，定义固定挂载和环境变量：

version: '3'
services:
  kubectl-awscli:
    image: [镜像仓库地址]/docker-kubectl-awscli:v1.11.2
    volumes:
      - ~/.kube/config:/root/.kube/config:ro  # 只读挂载 K8s 配置
      - ~/.aws/credentials:/root/.aws/credentials:ro  # 只读挂载 AWS 凭证
      - ./k8s-resources:/k8s-resources  # 挂载本地 K8s 资源文件目录
    environment:
      - AWS_REGION=us-east-1  # 默认 AWS 区域
    tty: true  # 支持交互式终端

启动并进入容器：

docker-compose up -d
docker-compose exec kubectl-awscli sh

配置参数与环境变量

环境变量

挂载路径

注意事项

1. Python 2 依赖：镜像基于 Python 2 构建，而 Python 2 已停止官方维护，建议仅在隔离环境中使用，避免直接处理敏感数据。
2. 工具版本兼容性：kubectl 版本需与目标 K8s 集群版本匹配（推荐客户端版本 ≤ 服务端版本），请根据集群版本选择镜像标签（如 v1.11.2 对应 kubectl 1.11.2）。
3. 敏感配置安全：挂载凭证文件时建议设置为只读权限（:ro），避免容器内误修改。
4. awscli 版本：镜像中 awscli 为构建时的最新版本，如需固定版本，需通过自定义 Dockerfile 调整。