Spring Boot如何从AWS Secrets Manager加载凭证并注入Spring属性？

1. 优先使用AWS ECS任务IAM角色（推荐） #

你的应用部署在ECS上，完全不需要硬编码或配置accessKey/secretKey，直接给ECS任务绑定具有Secrets Manager读取权限的IAM角色即可。AWS SDK会自动从ECS任务的元数据服务获取临时凭证，无需手动处理凭证逻辑。

实现步骤： #

• 给ECS任务的执行角色或任务角色添加secretsmanager:GetSecretValue权限（权限范围限定到目标secret的ARN）
• 在EnvironmentPostProcessor中直接使用默认客户端构造器，SDK会自动完成凭证获取：

public class AwsSecretsManagerEnvironmentPostProcessor implements EnvironmentPostProcessor {
    @Override
    public void postProcessEnvironment(ConfigurableEnvironment environment, SpringApplication application) {
        // 自动从ECS元数据获取凭证，无需手动配置
        AwsSecretsManagerClient client = AwsSecretsManagerClient.create();
        GetSecretValueRequest request = GetSecretValueRequest.builder()
                .secretId("你的目标Secret ARN")
                .build();
        GetSecretValueResponse response = client.getSecretValue(request);
        String secretString = response.secretString();
        
        // 解析JSON格式的Secret内容（假设Secret以JSON结构存储键值对）
        ObjectMapper objectMapper = new ObjectMapper();
        Map<String, String> secretMap = objectMapper.readValue(secretString, new TypeReference<>() {});
        
        Properties props = new Properties();
        props.put("spring.datasource.username", secretMap.get("username"));
        props.put("spring.datasource.password", secretMap.get("password"));
        // 按需添加其他需要注入的配置项
        
        // 将Secret属性放到最前面，确保覆盖本地配置
        environment.getPropertySources().addFirst(new PropertiesPropertySource("awsSecretsProps", props));
    }
}

• 在src/main/resources/META-INF/spring.factories中注册处理器：

org.springframework.boot.env.EnvironmentPostProcessor=com.你的包名.AwsSecretsManagerEnvironmentPostProcessor

2. 若必须使用显式凭证（不推荐） #

如果因特殊场景需要配置accessKey/secretKey，可通过ECS任务定义的环境变量注入不同环境的凭证，再在处理器中读取：

• 在ECS任务定义中给不同环境配置对应的环境变量（如AWS_ACCESS_KEY、AWS_SECRET_KEY、AWS_REGION）
• 在EnvironmentPostProcessor中直接从环境读取属性构建客户端：

@Override
public void postProcessEnvironment(ConfigurableEnvironment environment, SpringApplication application) {
    String accessKey = environment.getProperty("AWS_ACCESS_KEY");
    String secretKey = environment.getProperty("AWS_SECRET_KEY");
    String region = environment.getProperty("AWS_REGION", "us-east-1");
    
    AwsSecretsManagerClient client = AwsSecretsManagerClient.builder()
            .credentialsProvider(StaticCredentialsProvider.create(AwsBasicCredentials.create(accessKey, secretKey)))
            .region(Region.of(region))
            .build();
    
    // 后续读取Secret并注入属性的逻辑同方案1
}

3. 使用Spring Cloud AWS Secrets Manager Starter（更简洁） #

直接借助Spring官方生态依赖，无需手动实现EnvironmentPostProcessor：

• 添加Maven依赖：

<dependency>
    <groupId>io.awspring.cloud</groupId>
    <artifactId>spring-cloud-starter-aws-secrets-manager-config</artifactId>
</dependency>

• 在配置文件中指定Secret的ARN/名称和AWS区域：

spring.cloud.aws.secretsmanager.secret-name=你的目标Secret ARN
spring.cloud.aws.region.static=us-east-1

• 启动时Spring会自动将Secrets Manager中的键值对加载到环境中，直接使用spring.datasource.username等属性即可。ECS环境下同样只需绑定IAM角色，无需配置凭证。

注意：使用该依赖时，需确保Spring Boot版本与Spring Cloud AWS版本兼容，参考官方版本匹配规则。

内容的提问来源于stack exchange，提问作者Cosmin D