vimond/ecr-credentials-refresher

AWS ECR凭证刷新工具镜像

镜像概述和主要用途

该Docker镜像用于在Kubernetes环境中自动刷新AWS凭证，解决跨区域/跨账户访问ECR（Amazon Elastic Container Registry）仓库时的凭证有效性问题。通过定期更新Kubernetes中的凭证信息，确保集群能够持续从任意AWS区域或账户的ECR仓库拉取容器镜像，无需手动干预凭证轮换。

核心功能和特性

• 自动凭证刷新：定期更新Kubernetes Secret或ConfigMap中的AWS访问凭证，避免因凭证过期导致的镜像拉取失败
• 跨区域/账户支持：支持配置多个AWS区域和账户，实现对不同区域/账户ECR仓库的统一访问
• Kubernetes原生集成：可作为Init容器或定时任务运行，与Kubernetes Secret管理机制无缝对接
• 轻量级设计：基于精简基础镜像构建，资源占用低，适合在资源受限的Kubernetes环境中部署

使用场景和适用范围

• 多区域K8s部署：需要从不同AWS区域的ECR仓库拉取镜像的分布式部署场景
• 跨账户ECR访问：企业内部多AWS账户间共享ECR镜像时的凭证管理
• 安全合规要求：需定期轮换AWS凭证以满足安全策略的生产环境
• CI/CD流水线集成：在Kubernetes环境中自动化部署流程中确保镜像拉取权限持续有效

使用方法和配置说明

环境变量配置

Docker运行示例

bash
docker run -d \
  -e AWS_ACCESS_KEY_ID="AKIAEXAMPLE123" \
  -e AWS_SECRET_ACCESS_KEY="secret123example" \
  -e ECR_REGIONS="us-east-1,us-west-2" \
  -e K8S_SECRET_NAME="ecr-credentials" \
  -e REFRESH_INTERVAL="3600" \
  --mount type=bind,source=/var/run/kubernetes.sock,target=/var/run/kubernetes.sock \
  ecr-credential-refresher:latest

Kubernetes部署示例

1. 作为Init容器使用

yaml
apiVersion: apps/v1
kind: Deployment
metadata:
  name: example-app
spec:
  replicas: 1
  template:
    spec:
      initContainers:
      - name: ecr-credential-refresh
        image: ecr-credential-refresher:latest
        env:
        - name: AWS_ACCESS_KEY_ID
          valueFrom:
            secretKeyRef:
              name: aws-creds
              key: access-key
        - name: AWS_SECRET_ACCESS_KEY
          valueFrom:
            secretKeyRef:
              name: aws-creds
              key: secret-key
        - name: ECR_REGIONS
          value: "us-east-1,eu-west-1"
        - name: K8S_SECRET_NAME
          value: "ecr-pull-secret"
      containers:
      - name: main-app
        image: 123456789012.dkr.ecr.us-east-1.amazonaws.com/example-app:latest
        imagePullSecrets:
        - name: ecr-pull-secret

2. 作为定时任务（CronJob）使用

yaml
apiVersion: batch/v1
kind: CronJob
metadata:
  name: ecr-credential-refresher
spec:
  schedule: "0 */6 * * *"  # 每6小时执行一次
  jobTemplate:
    spec:
      template:
        spec:
          containers:
          - name: refresher
            image: ecr-credential-refresher:latest
            env:
            - name: AWS_ACCESS_KEY_ID
              valueFrom:
                secretKeyRef:
                  name: aws-creds
                  key: access-key
            - name: AWS_SECRET_ACCESS_KEY
              valueFrom:
                secretKeyRef:
                  name: aws-creds
                  key: secret-key
            - name: ECR_REGIONS
              value: "us-east-1,us-west-2,eu-central-1"
            - name: ECR_ACCOUNTS
              value: "123456789012,987654321098"
            - name: K8S_SECRET_NAME
              value: "ecr-pull-secret"
          restartPolicy: OnFailure

注意事项

• 确保运行该镜像的Kubernetes服务账户具有创建/更新Secret的权限
• AWS访问密钥需要具备访问目标ECR仓库的权限（至少包含ecr:GetAuthorizationToken权限）
• 对于生产环境，建议通过Kubernetes Secret管理AWS访问密钥，避免明文环境变量
• 根据实际需求调整刷新间隔，平衡安全性和资源消耗