mozillasecurity/credstash 镜像文档

镜像概述

mozillasecurity/credstash 是一个最小化的Docker镜像，专为在EC2环境中运行credstash工具设计。credstash是一款用于安全存储和检索加密凭据的工具，该镜像精简了运行环境，仅包含核心依赖，并默认通过EC2实例附加的IAM角色实现授权，无需手动配置访问密钥。

核心功能与特性

• 最小化设计：镜像体积精简，仅包含运行credstash所需的核心组件，减少资源占用
• IAM角色授权：依赖EC2实例附加的IAM角色进行身份验证，无需管理长期访问密钥
• 完整命令支持：兼容credstash的所有标准操作（如列出、获取、存储凭据等）

使用场景与适用范围

适用于需要在EC2实例中安全管理敏感凭据的场景，包括但不限于：

• 应用程序在EC2上运行时需访问加密存储的API密钥、数据库密码等敏感信息
• 需遵循最小权限原则，通过IAM角色精细控制凭据访问权限的环境
• 使用DynamoDB存储凭据元数据、KMS进行加密/解密的credstash标准部署架构

使用方法与配置说明

前提条件

• 运行镜像的EC2实例需附加具有以下权限的IAM角色：
  • 访问DynamoDB（用于读写凭据元数据）
  • 访问KMS（用于凭据的加密与解密操作）
• 目标环境已安装Docker引擎

基本操作示例

列出所有凭据

执行以下命令列出存储的所有凭据名称：

bash
docker run mozillasecurity/credstash list

获取指定凭据

获取名称为<credential-name>的凭据值：

bash
docker run mozillasecurity/credstash get <credential-name>

存储新凭据

存储名称为<credential-name>、值为<credential-value>的新凭据：

bash
docker run mozillasecurity/credstash put <credential-name> <credential-value>

查看完整命令帮助

获取credstash所有支持的命令及参数说明：

bash
docker run mozillasecurity/credstash --help

注意事项

• 镜像本身不持久化存储数据，所有操作均通过credstash与后端DynamoDB/KMS服务交互
• 建议为EC2实例附加的IAM角色配置最小权限，仅授予必要的DynamoDB（如dynamodb:Scan、dynamodb:GetItem）和KMS（如kms:Decrypt、kms:Encrypt）操作权限
• 如需自定义credstash配置（如指定非默认DynamoDB表名或KMS密钥ID），可通过环境变量或命令行参数传递（参考credstash***文档）