Amazon ec2 如何在Mesos中为容器级访问设置IAM角色

我正在通过Mesos将我的微服务部署到EC2实例中。问题是我正在与其他团队的微服务共享我的EC2实例。所有这些微服务都处理不同的S3存储桶，我们不希望其他人访问我们的存储桶。我需要将IAM角色分配给我的容器，这样只有我才能通过部署在EC2实例中的微服务访问我的S3存储桶。

---

我们不使用ECS，而是使用Mesos部署。如有任何意见或建议，我们将不胜感激。提前感谢。

没有本机AWS对此的支持。同时，您可以使用Lyft（另请参见）

引用博客：

我们有一个想法，构建一个web服务，代理对元数据服务的调用，并将大部分调用传递给真正的元数据服务，但捕获对IAM端点的调用。通过捕获IAM端点，我们可以决定要返还哪些IAM凭据

要知道应该承担哪些IAM角色，metadataproxy可以访问docker套接字。当它收到请求时，它会根据其请求IP查找容器，找到容器的环境变量，并使用IAM_角色环境变量的值作为要承担的角色。然后，它使用STS承担角色，将凭据缓存在内存中（用于进一步请求），并将它们返回给调用方。如果缓存在内存中的凭据设置为过期，则代理将重新假定凭据