使用AWS CDK定义ECS任务时，如何注入SSM SecretString到环境变量？

完全可以实现将SSM Parameter Store的SecretString注入为ECS容器的环境变量，你之前的问题出在类型不匹配上，正确的实现方式如下：

正确代码示例 #

import { StringParameter } from 'aws-cdk-lib/aws-ssm';
import { Secret as EcsSecret } from 'aws-cdk-lib/aws-ecs';

// 为ECS容器配置SSM参数作为环境变量
taskDefinition.addContainer(`${id}-etcd`, {
  image: ContainerImage.fromRegistry(ecrRegistry),
  containerName: 'container-name',
  secrets: {
    ENV_VAR_NAME: EcsSecret.fromSsmParameter(
      // 引用已存在的SSM String类型参数
      StringParameter.fromStringParameterName(this, 'ParamReference', 'param-name')
    ),
  },
});

你的错误原因解析 #

1. 直接使用SecretsManager的Secret类：你用aws-cdk-lib/aws-secretsmanager中的Secret类赋值给ECS容器的secrets属性，但ECS的secrets要求的是aws-cdk-lib/aws-ecs包中定义的Secret类型，两者不是同一类型，因此会报arn属性缺失的错误。
2. ISecret接口类型不匹配：即使用fromSecretCompleteArn获取SecretsManager的引用，该对象实现的是ISecret接口，同样不符合ECS容器secrets所需的结构，ECS需要的是专门封装过的、指向SSM或SecretsManager的引用对象，而非直接的Secret实例。

额外说明：创建新SSM参数并注入 #

如果需要创建新的SSM SecretString参数，可先通过new StringParameter创建：

const newSecretParam = new StringParameter(this, 'NewSecretParam', {
  parameterName: 'new-param-name',
  stringValue: 'your-secret-value',
  type: ParameterType.SECURE_STRING,
});

// 再注入到ECS容器
taskDefinition.addContainer(`${id}-etcd`, {
  // ...其他配置
  secrets: {
    ENV_VAR_NAME: EcsSecret.fromSsmParameter(newSecretParam),
  },
});

内容的提问来源于stack exchange，提问作者0xBradock