使用AWS Secrets Manager Java Secret Cache获取密钥失败：报"密钥未找到"错误

核心代码问题分析 #

你代码里的getCachedValue方法错误依赖了cache.refreshNow(secretKey)的返回值来决定是否读取密钥。refreshNow是强制刷新缓存的方法，返回false可能是刷新操作失败（比如临时网络波动），但不代表缓存中没有可用的密钥数据；而且SecretCache本身会自动处理缓存的加载和刷新逻辑，不需要手动调用refreshNow来触发读取。

当refreshNow返回false时，你的代码直接返回空字符串，这就导致了明明密钥存在却获取不到的问题。

修改后的代码 #

public class AWSSecretsManager {
    SecretsManagerClient client;
    SecretCache cache;

    public AWSSecretsManager() {
        Region region = Region.US_WEST_1;
        initializeConnection(region);
    }

    public AWSSecretsManager(Region optionalRegion) {
       initializeConnection(optionalRegion);
    }

    private void initializeConnection(Region region) {
        client = SecretsManagerClient.builder()
                .region(region)
                .build();

        cache = new SecretCache(client);
    }

    public String getCachedValue(String secretKey) {
        try {
            // 直接调用getSecretString，缓存会自动处理加载和刷新逻辑
            return cache.getSecretString(secretKey);
        } catch (Exception e) {
            // 可根据需求添加异常区分处理
            if (e instanceof SecretCacheException && e.getMessage().contains("Secret Key Not Found")) {
                throw new RuntimeException("指定的密钥不存在，请检查密钥名称/ARN", e);
            }
            throw new RuntimeException("获取缓存密钥失败", e);
        }
    }
}

其他排查要点 #

• 确认密钥标识符正确：确保传入的secretKey和CLI中使用的完全一致，是密钥的名称、ARN或者别名，注意大小写和特殊字符。
• 验证权限一致性：虽然CLI能获取，但要确认Java程序使用的IAM身份（比如EC2实例角色、本地环境的AWS凭证）和CLI使用的身份拥有相同的secretsmanager:GetSecretValue权限。
• 检查区域配置：确认Java代码中指定的Region和密钥所在的Region完全一致，CLI可能默认使用了正确的区域，但代码里可能配置错误。

内容的提问来源于stack exchange，提问作者JAKDev