Rails应用无法访问AWS Fargate动态生成的环境变量

先明确无效操作 #

你在Dockerfile中添加的ENV AWS_CONTAINER_CREDENTIALS_RELATIVE_URI=${AWS_CONTAINER_CREDENTIALS_RELATIVE_URI}语句完全无效。因为Docker构建镜像时，AWS还未注入这个动态生成的环境变量，这条语句只会把空值或构建环境的变量值写入镜像，反而可能干扰运行时Fargate注入的真实变量，建议直接删除。

排查与解决步骤 #

1. 验证应用启动时的环境变量状态
   在Fargate任务定义的容器启动命令前，添加环境变量打印命令，确认应用进程启动时该变量是否存在：

   echo "AWS_CONTAINER_CREDENTIALS_RELATIVE_URI: $AWS_CONTAINER_CREDENTIALS_RELATIVE_URI" && bundle exec puma
   

   查看容器日志，如果能打印出变量值，说明问题出在Rails应用内部的环境变量读取逻辑；如果打印为空，说明Fargate的变量注入存在问题（需检查任务定义配置）。

2. 检查Rails环境变量加载逻辑

   • 若使用了dotenv-rails或类似环境变量管理gem，确认其配置没有屏蔽系统环境变量。默认情况下dotenv-rails会加载.env文件，但不会覆盖系统环境变量，若你自定义了加载逻辑（比如使用Dotenv.overload），可能导致系统变量被覆盖，需改为Dotenv.load。
   • 检查config/application.rb或初始化脚本中，是否有过滤或重置环境变量的代码，比如手动设置ENV哈希的某个子集，导致目标变量被排除。

3. 检查应用启动脚本的环境继承
   若使用自定义启动脚本（如start.sh），确保脚本没有重置环境变量：

   • 避免使用env -i这类清空环境变量的命令；
   • 脚本中若需要设置其他环境变量，使用export VAR=value而非覆盖整个环境。

4. 确认Fargate任务定义配置

   • 检查任务定义的容器配置中，是否在environment字段手动设置了AWS_CONTAINER_CREDENTIALS_RELATIVE_URI，这会覆盖Fargate动态注入的值；
   • 确认任务执行角色具有足够权限获取容器凭证（虽然控制台能访问变量，权限大概率没问题，但可排查角色的ecs-task-execution-role相关权限）。

5. 测试不同场景下的变量读取

   • 在Rails控制器中直接读取ENV['AWS_CONTAINER_CREDENTIALS_RELATIVE_URI']并返回，验证是否能获取（排除初始化阶段的加载问题）；
   • 对比控制台和应用进程的环境变量，可在应用中添加接口输出ENV哈希的全部内容，与容器bash中printenv的结果对比，看目标变量是否存在。

内容的提问来源于stack exchange，提问作者Aniket Tiwari