nuvve/init-container-file-share

init-container-file-share镜像说明

镜像概述

本镜像作为ECS Fargate任务中的初始化容器，具备AWS S3访问权限，可将S3文件夹内的文件及目录结构下载到共享目录，供同一任务内的目标容器使用。目标容器无需直接访问S3，有效降低***面，提升任务整体安全性。

核心功能

• 从指定AWS S3文件夹下载文件及子目录到本地共享目录
• 自动创建目标共享目录（若不存在）
• 与同一ECS任务内的目标容器共享文件，无需目标容器持有S3凭证
• 支持任务定义中的依赖顺序配置，避免文件加载竞态条件

使用场景

• 目标容器需要静态配置文件（如配置脚本、证书）但不应直接拥有S3访问权限的场景
• ECS任务中需预先加载初始化数据到共享存储的场景
• 希望隔离S3访问权限，降低目标容器安全风险的场景

配置说明

1. 准备S3桶：创建存储需共享文件/目录的S3桶，并确保文件结构符合需求
2. 配置任务角色：为ECS任务定义的taskRoleArn赋予S3桶的读取权限（如s3:GetObject、s3:ListBucket）
3. 任务定义配置：
   • 将本镜像与目标容器加入同一任务定义
   • 设置目标容器依赖本初始化容器（通过dependsOn参数，确保先启动初始化容器）
   • 配置共享卷，将初始化容器的下载目录与目标容器挂载为同一卷

部署示例

本地测试Docker Run命令

bash
docker run --rm \
  -e AWS_ACCESS_KEY_ID=your-access-key \
  -e AWS_SECRET_ACCESS_KEY=your-secret-key \
  -e AWS_REGION=your-region \
  -v shared-volume:/shared \
  docker.xuanyuan.run/nuvve/init-container-file-share \
  s3://your-bucket/path/to/folder /shared/target-dir

ECS任务定义关键片段

json
{
  "containerDefinitions": [
    {
      "name": "init-file-share",
      "image": "nuvve/init-container-file-share",
      "essential": true,
      "command": ["s3://your-bucket/configs", "/shared/configs"],
      "mountPoints": [{"sourceVolume": "shared-vol", "containerPath": "/shared"}],
      "taskRoleArn": "arn:aws:iam::123456789012:role/ecs-task-s3-read"
    },
    {
      "name": "target-container",
      "image": "your-target-image",
      "essential": true,
      "mountPoints": [{"sourceVolume": "shared-vol", "containerPath": "/app/configs"}],
      "dependsOn": [{"containerName": "init-file-share", "condition": "SUCCESS"}]
    }
  ],
  "volumes": [{"name": "shared-vol", "host": {}}]
}