![如何防止 Amazon ECS 中的关键数据泄露?](https://linux22.com/image/757948/%E5%A6%82%E4%BD%95%E9%98%B2%E6%AD%A2%20Amazon%20ECS%20%E4%B8%AD%E7%9A%84%E5%85%B3%E9%94%AE%E6%95%B0%E6%8D%AE%E6%B3%84%E9%9C%B2%EF%BC%9F.png)
我不确定我对这个问题的基本假设是否正确,但据我了解,存在以下问题:具有创建 ECS 任务定义权限的用户可以通过 docker bind mounts 随时访问实例的所有数据。包括数据库密码、API 密钥和其他关键数据。如果这是正确的,我可以在 git 中管理我的密码,假设所有 git 用户都被授权同时启动任务定义,因为这并不重要。或者换句话说,我可以将所有关键密码放入我的 docker 镜像中。如果我是对的,有没有办法防止这种特权升级?
抱歉,我说得有点不清楚。我想了解员工有权更改/创建 ECS 任务定义意味着什么。此权限通常会授予 git 运行者,以便将源代码中的更改作为 docker 容器推送到实例上。从我的角度来看,这意味着拥有此授权的每个人都可以同时读取实例上的所有数据。与对实例的 SSH 访问一样强大。因为借助 docker 卷(bind-mount),邪恶的容器可以访问实例的所有数据。你能证实吗?因此,假设您授予 git 运行者此授权,那么您实际上可以简单地在 git 中签入您的密码或在 docker 映像中写入,但您不应该这样做。