AWS ECS部署SpringBoot应用Azure AD客户端密钥注入失败排查

1. 修正Terraform任务定义的语法错误 #

你的Terraform代码存在多处拼写和语法问题，这会直接导致Secrets无法正确注入容器：

• aws_ecs_task_defintion 拼写错误，应为 aws_ecs_task_definition
• container_defintions 拼写错误，应为 container_definitions
• 所有中文引号（“”）需替换为英文引号（""）
• valueFrom 格式错误，正确格式需包含完整的Secrets Manager ARN，示例：

  valueFrom = "arn:aws:secretsmanager:us-east-1:123456789012:secret:azure-client-secret-xyz789:CLIENT_SECRET::"
  

修正后的任务定义示例：

resource "aws_ecs_task_definition" "ecs_task" {
  family                   = "ecs-task"
  execution_role_arn       = aws_iam_role.task_iam_role.arn
  task_role_arn            = aws_iam_role.task_iam_role.arn
  requires_compatibilities = ["FARGATE"]

  container_definitions = jsonencode([{
    name  = "ecs-container"
    image = local.image_uri

    secrets = [{
      name      = "CLIENT_SECRET"
      valueFrom = "arn:aws:secretsmanager:us-east-1:123456789012:secret:azure-client-secret-xyz789:CLIENT_SECRET::"
    }]
  }])
}

2. 验证容器环境变量是否正确注入 #

ECS Secrets是将密钥注入为容器的环境变量，SpringBoot的${CLIENT_SECRET}占位符会读取同名环境变量。你可以通过两种方式验证：

• 进入ECS控制台的任务详情页面，查看容器的环境变量列表，确认CLIENT_SECRET是否存在且值正确
• 进入容器终端，执行命令：

  echo $CLIENT_SECRET
  

如果环境变量不存在，说明ECS侧的Secrets配置或权限有问题；如果存在但SpringBoot未读取到，再检查Spring配置。

3. 确认SpringBoot的环境变量读取逻辑 #

SpringBoot默认会自动读取环境变量，但如果应用有自定义配置加载顺序，可添加以下配置确保环境变量优先级：
在application.yml中添加：

spring:
  config:
    import: optional:env:

或者启动时添加JVM参数：

-Dspring.config.import=optional:env:

4. 检查IAM执行角色的权限 #

确保ECS任务的execution role（而非task role）拥有secretsmanager:GetSecretValue权限，权限策略示例：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "secretsmanager:GetSecretValue",
      "Resource": "arn:aws:secretsmanager:<region>:<account-id>:secret:<secret-name>-*"
    }
  ]
}

注意：execution role负责拉取Secrets并注入容器，task role是容器内应用使用的角色，两者不要混淆。

5. 检查Secret的存储结构 #

确保AWS Secrets Manager中的Secret是以键值对形式存储，且键名正好是CLIENT_SECRET，比如Secret内容为：

{
  "CLIENT_SECRET": "your-real-client-secret-value"
}

如果Secret是纯文本形式（不是键值对），则valueFrom不需要指定键名，直接填写Secret的ARN即可：

valueFrom = "arn:aws:secretsmanager:us-east-1:123456789012:secret:azure-client-secret-xyz789::"

内容的提问来源于stack exchange，提问作者chandu