非AWS环境下.NET 8.0 Web应用访问AWS Secrets Manager报错求助

你遇到的错误是因为默认的AmazonSecretsManagerClient构造函数会优先尝试从EC2实例元数据服务获取凭证，但非AWS环境没有这个服务，所以触发报错。既然你已经创建了具备Secrets Manager读取权限的IAM用户，完全可以通过编程方式显式传入该用户的凭证来访问密钥。

解决步骤 #

• 获取IAM用户凭证: 登录AWS控制台，找到目标IAM用户，生成并保存其Access Key ID和Secret Access Key（务必妥善保管，绝对不要硬编码到代码中提交至版本库）。

• 修改代码显式传入凭证:
  调整AmazonSecretsManagerClient的初始化逻辑，用IAM用户的凭证创建BasicAWSCredentials对象，再传入客户端构造函数。

修改后的完整代码示例：

using Amazon;
using Amazon.SecretsManager.Model;
using Amazon.SecretsManager;
using Amazon.Runtime;

namespace Project.ApplicationService;

public class AwsCredentialsProcessor
{
    public async Task<AwsCredentials> GetAwsCredentials()
    {
        string secretName = "****";
        string region = "****";
        // 建议从环境变量或安全配置中心读取，禁止硬编码
        string accessKeyId = Environment.GetEnvironmentVariable("AWS_ACCESS_KEY_ID");
        string secretAccessKey = Environment.GetEnvironmentVariable("AWS_SECRET_ACCESS_KEY");

        var credentials = new BasicAWSCredentials(accessKeyId, secretAccessKey);
        IAmazonSecretsManager client = new AmazonSecretsManagerClient(credentials, RegionEndpoint.GetBySystemName(region));

        GetSecretValueRequest request = new GetSecretValueRequest
        {
            SecretId = secretName
        };

        GetSecretValueResponse response;

        try
        {
            response = await client.GetSecretValueAsync(request);
        }
        catch (Exception e)
        {
            // 建议针对AWS SDK特定异常（如ResourceNotFoundException、AccessDeniedException）做针对性处理
            throw;
        }

        string secret = response.SecretString;

        // 根据Secrets Manager中存储的密钥结构解析并返回正确的凭证对象
        return ParseSecretToCredentials(secret);
    }

    private AwsCredentials ParseSecretToCredentials(string secret)
    {
        // 示例：假设密钥为JSON格式，解析出对应字段
        var secretObj = System.Text.Json.JsonSerializer.Deserialize<Dictionary<string, string>>(secret);
        return new AwsCredentials(secretObj["access_key"], secretObj["secret_key"]);
    }
}

注意事项 #

• 凭证安全: 生产环境禁止将Access Key和Secret Key硬编码，推荐通过环境变量、安全配置管理工具（如HashiCorp Vault）或本地AWS凭证文件（本地开发场景）获取。
• 权限验证: 确保IAM用户所在用户组已被授予secretsmanager:GetSecretValue权限，可直接使用AWS托管的SecretsManagerReadOnlyAccess策略，或自定义更细粒度的权限策略。
• 异常处理: 建议针对AWS SDK抛出的具体异常做针对性捕获处理，避免直接抛出所有异常导致排查困难。

内容的提问来源于stack exchange，提问作者AAA444AA7