如何将AWS Secrets Manager凭证注入含conf.yaml的Docker项目配置

针对你的ECS Fargate场景，以下是几种实用的实现方案：

方案1：容器启动时拉取Secret并替换conf.yaml占位符 #

这种方式无需预先构建含敏感数据的镜像，所有凭证在运行时注入，安全性更高。

步骤1：给conf.yaml添加占位符 #

把需要填充凭证的位置替换为统一格式的占位符，示例：

database:
  username: ${DB_USERNAME}
  password: ${DB_PASSWORD}

步骤2：编写启动脚本（如entrypoint.sh） #

创建shell脚本，负责拉取Secret、替换占位符并启动应用：

#!/bin/bash

# 从Secrets Manager拉取JSON格式的凭证（假设Secret名为my-db-creds）
SECRET=$(aws secretsmanager get-secret-value --secret-id my-db-creds --query SecretString --output text)

# 解析JSON字段为环境变量
export DB_USERNAME=$(echo $SECRET | jq -r '.username')
export DB_PASSWORD=$(echo $SECRET | jq -r '.password')

# 替换conf.yaml中的占位符，生成填充后的配置文件
envsubst < /src/conf.yaml > /src/conf-filled.yaml

# 启动你的应用（替换为实际启动命令）
run-app --config /src/conf-filled.yaml

步骤3：修改Dockerfile #

安装必要依赖，配置脚本为容器入口：

FROM your-base-image:tag

# 安装aws-cli和jq（根据基础镜像调整，Alpine用apk，Debian/Ubuntu用apt）
RUN apt-get update && apt-get install -y aws-cli jq

# 复制项目文件到容器内
COPY src/ /src/

# 复制启动脚本并赋予执行权限
COPY entrypoint.sh /src/entrypoint.sh
RUN chmod +x /src/entrypoint.sh

# 设置容器启动入口
ENTRYPOINT ["/src/entrypoint.sh"]

步骤4：配置ECS任务角色 #

确保ECS任务执行角色拥有secretsmanager:GetSecretValue权限，让容器内的aws-cli能正常访问Secrets Manager。

方案2：通过ECS Secrets注入环境变量，再写入conf.yaml #

ECS Fargate支持直接将Secrets Manager的凭证作为环境变量注入容器，无需手动调用aws-cli。

步骤1：配置ECS任务定义 #

在任务定义的容器配置中，添加Secrets引用：

"environment": [],
"secrets": [
  {
    "name": "DB_USERNAME",
    "valueFrom": "arn:aws:secretsmanager:你的区域:你的账号ID:secret:my-db-creds-随机后缀:username::"
  },
  {
    "name": "DB_PASSWORD",
    "valueFrom": "arn:aws:secretsmanager:你的区域:你的账号ID:secret:my-db-creds-随机后缀:password::"
  }
]

注意：替换valueFrom中的ARN为你的Secret实际ARN，末尾的:username::用于指定JSON中的字段路径。

步骤2：简化启动脚本 #

无需拉取Secret，直接用环境变量替换占位符：

#!/bin/bash

# 替换占位符生成最终配置文件
envsubst < /src/conf.yaml > /src/conf-filled.yaml

# 启动应用
run-app --config /src/conf-filled.yaml

步骤3：调整Dockerfile #

无需安装aws-cli，只需确保envsubst可用（多数基础镜像默认包含），复制脚本并设置入口即可。

方案3：应用程序直接读取Secrets Manager（推荐） #

如果你的应用代码支持调用AWS SDK，可直接在代码中读取凭证，跳过修改conf.yaml的环节，减少中间步骤更安全。

示例（Python + boto3）：

import boto3
import yaml

# 初始化Secrets Manager客户端
secrets_client = boto3.client('secretsmanager')
# 拉取凭证
response = secrets_client.get_secret_value(SecretId='my-db-creds')
# 解析JSON格式的Secret
db_creds = yaml.safe_load(response['SecretString'])

# 使用凭证初始化数据库连接
db.connect(username=db_creds['username'], password=db_creds['password'])

内容的提问来源于stack exchange，提问作者Manikandan Muthuraj