Angular应用从AWS Secrets Manager获取密钥失败的问题咨询

核心问题分析 #

你遇到的Error retrieving secret. Credential is missing错误，本质是前端浏览器环境无法安全持有AWS访问凭证，且直接让前端调用AWS Secrets Manager存在严重安全风险（凭证会暴露给所有用户）。结合你已使用ExternalSecrets的部署场景，推荐以下两种合规方案：

方案一：通过K8s ExternalSecrets将凭证注入前端环境变量（推荐） #

利用ExternalSecrets把AWS Secrets Manager中的凭证同步到K8s Secret，再通过部署配置将凭证注入为前端环境变量，前端直接读取环境变量即可。

1. 配置ExternalSecrets同步AWS凭证到K8s Secret #

假设你的AWS Secret名为activemq-credentials，包含username和password字段，编写ExternalSecret资源：

apiVersion: external-secrets.io/v1beta1
kind: ExternalSecret
metadata:
  name: activemq-secret
spec:
  secretStoreRef:
    name: aws-secrets-manager
    kind: SecretStore
  target:
    name: activemq-secret
  data:
  - secretKey: username
    remoteRef:
      key: activemq-credentials
      property: username
  - secretKey: password
    remoteRef:
      key: activemq-credentials
      property: password

该配置会自动将AWS Secrets Manager中的凭证同步到K8s集群内的activemq-secret Secret。

2. 在Angular部署中注入环境变量 #

在K8s Deployment配置中，将Secret内容注入为容器环境变量：

apiVersion: apps/v1
kind: Deployment
metadata:
  name: angular-app
spec:
  template:
    spec:
      containers:
      - name: angular-app
        image: your-angular-image
        env:
        - name: ACTIVEMQ_USERNAME
          valueFrom:
            secretKeyRef:
              name: activemq-secret
              key: username
        - name: ACTIVEMQ_PASSWORD
          valueFrom:
            secretKeyRef:
              name: activemq-secret
              key: password

3. Angular应用读取环境变量 #

在Angular的环境文件（如environment.prod.ts）中读取注入的环境变量：

export const environment = {
  production: true,
  activemq: {
    username: window['env']?.ACTIVEMQ_USERNAME || '',
    password: window['env']?.ACTIVEMQ_PASSWORD || ''
  }
};

后续连接ActiveMQ时，直接使用environment.activemq中的凭证即可。

方案二：通过后端代理动态获取凭证（适合凭证频繁轮换场景） #

如果需要动态获取最新凭证，不要让前端直接调用AWS接口，而是通过后端API代理请求：

1. 后端服务调用AWS Secrets Manager #

后端服务通过IAM角色（如K8s ServiceAccount关联的IAM Role）安全访问AWS Secrets Manager，示例（Node.js）：

const { SecretsManagerClient, GetSecretValueCommand } = require("@aws-sdk/client-secrets-manager");

const client = new SecretsManagerClient({ region: "your-aws-region" });

async function getActiveMQCreds() {
  const command = new GetSecretValueCommand({ SecretId: "activemq-credentials" });
  const response = await client.send(command);
  return JSON.parse(response.SecretString);
}

// 暴露API接口
app.get('/api/activemq-creds', async (req, res) => {
  try {
    const creds = await getActiveMQCreds();
    res.json(creds);
  } catch (err) {
    res.status(500).json({ error: 'Failed to fetch credentials' });
  }
});

2. Angular前端调用后端API #

修改你的SecretManagerService，改为调用后端API：

import { Injectable } from '@angular/core';
import { HttpClient } from '@angular/common/http';
import { Observable } from 'rxjs';

@Injectable({ providedIn: 'root' })
export class SecretManagerService {
  constructor(private http: HttpClient) {}

  getActiveMQCredentials(): Observable<{ username: string; password: string }> {
    return this.http.get<{ username: string; password: string }>('/api/activemq-creds');
  }
}

关键注意事项 #

• 绝对不要在前端代码中嵌入AWS凭证，包括硬编码、本地存储或直接暴露给浏览器，会导致AWS资源被非法访问。
• 优先使用方案一，契合你已有的ExternalSecrets部署架构，无需额外开发后端服务。
• 后端服务访问AWS时，必须使用IAM角色而非硬编码凭证，确保权限最小化。

内容的提问来源于stack exchange，提问作者LDropl