jippi/go-metadataproxy

go-metadataproxy Docker镜像文档

镜像概述

go-metadataproxy是一个针对AWS元数据服务的代理工具，主要功能是通过AWS STS（Security Token Service）生成并提供具有特定作用域的临时IAM凭证。该镜像旨在解决容器环境中安全获取AWS资源访问权限的问题，避免直接暴露长期IAM凭证，增强应用的安全性。

核心功能与特性

• 元数据服务代理：模拟AWS EC2实例元数据服务接口，接收应用的元数据请求
• STS集成：与AWS STS服务交互，动态生成临时IAM凭证
• 凭证作用域限制：支持基于角色的访问控制，提供最小权限的受限凭证
• 轻量级设计：基于Go语言开发，镜像体积小，资源占用低
• 易于部署：支持Docker容器化部署，配置简单灵活

使用场景与适用范围

• 容器化应用：在Docker或Kubernetes等容器环境中运行的应用需要访问AWS资源时
• 多租户环境：需要为不同应用或租户提供隔离的AWS访问权限时
• 安全敏感场景：希望避免在容器中存储长期IAM凭证，降低凭证泄露风险时
• 开发/测试环境：需要快速为应用提供临时AWS访问权限进行测试时

使用方法与配置说明

基本部署（Docker Run）

bash
docker run -d \
  --name metadataproxy \
  -p 8080:8080 \
  -e AWS_REGION=us-east-1 \
  -e STS_ROLE_ARN=arn:aws:iam::123456789012:role/my-role \
  -e CREDENTIALS_TTL=3600 \
  jippi/go-metadataproxy

Docker Compose配置

yaml
version: '3'
services:
  metadataproxy:
    image: jippi/go-metadataproxy
    ports:
      - "8080:8080"
    environment:
      - AWS_REGION=us-east-1
      - STS_ROLE_ARN=arn:aws:iam::123456789012:role/my-role
      - CREDENTIALS_TTL=3600
      - LOG_LEVEL=info
    restart: always

环境变量配置

验证代理功能

部署后，可通过以下命令测试元数据代理是否正常工作：

bash
curl http://localhost:8080/latest/meta-data/iam/security-credentials/

正常情况下，将返回配置的IAM角色名称。进一步获取凭证：

bash
curl http://localhost:8080/latest/meta-data/iam/security-credentials/my-role

将返回包含AccessKeyId、SecretAccessKey和SessionToken的临时凭证信息。

注意事项

• 确保运行容器的环境具有访问AWS STS服务的网络权限
• 建议为STS角色配置最小权限策略，遵循最小权限原则
• 生产环境中应适当调整CREDENTIALS_TTL值，平衡安全性和性能
• 如使用EC2实例或EKS集群，可通过IAM角色而非访问密钥进行身份验证，提高安全性