如何将PEM私钥传入AWS Task Definition以实现CloudFront URL签名？

方案1：将环境变量私钥写入临时文件（兼容旧SDK） #

如果你的SDK版本仅支持传入File对象，可以把环境变量中的私钥文本写入容器临时目录（如/tmp）——该目录内容不会被打包进镜像，容器销毁后自动清理，符合安全要求。

Kotlin代码示例：

import java.io.File
import java.io.FileWriter
import java.nio.file.Files

fun getPrivateKeyFileFromEnv(): File {
    // 读取环境变量中的私钥文本
    val privateKeyText = System.getenv("CLOUDFRONT_PRIVATE_KEY")
        ?: throw IllegalArgumentException("环境变量CLOUDFRONT_PRIVATE_KEY未配置")
    
    // 创建临时PEM文件，JVM退出时自动删除
    val tempFile = Files.createTempFile("cloudfront-", ".pem").toFile()
    tempFile.deleteOnExit()
    
    // 将私钥文本写入临时文件
    FileWriter(tempFile).use { writer ->
        writer.write(privateKeyText)
    }
    
    return tempFile
}

// 使用示例
val privateKeyFile = getPrivateKeyFileFromEnv()
// 调用CloudFront签名SDK方法，传入privateKeyFile即可
// CloudFrontUrlSigner.signUrl(...)

方案2：直接加载私钥字符串为PrivateKey对象（推荐，无文件操作） #

AWS SDK for Java v2（及部分v1新版本）支持直接传入PrivateKey对象，无需通过文件加载。可以将环境变量中的私钥文本解析为PrivateKey，全程在内存中处理，避免磁盘落地风险。

Kotlin代码示例：

import java.security.KeyFactory
import java.security.PrivateKey
import java.security.spec.PKCS8EncodedKeySpec
import java.util.Base64

fun getPrivateKeyFromEnv(): PrivateKey {
    val privateKeyText = System.getenv("CLOUDFRONT_PRIVATE_KEY")
        ?: throw IllegalArgumentException("环境变量CLOUDFRONT_PRIVATE_KEY未配置")
    
    // 清理私钥文本中的格式标识和空白字符
    val cleanedKey = privateKeyText
        .replace("-----BEGIN RSA PRIVATE KEY-----", "")
        .replace("-----END RSA PRIVATE KEY-----", "")
        .replace("\\s+".toRegex(), "")
    
    // Base64解码并生成PrivateKey
    val keyBytes = Base64.getDecoder().decode(cleanedKey)
    val keySpec = PKCS8EncodedKeySpec(keyBytes)
    val keyFactory = KeyFactory.getInstance("RSA")
    
    return keyFactory.generatePrivate(keySpec)
}

// SDK v2 使用示例
import software.amazon.awssdk.services.cloudfront.CloudFrontUtilities
import software.amazon.awssdk.services.cloudfront.model.SignedUrlRequest

fun generateSignedUrl() {
    val privateKey = getPrivateKeyFromEnv()
    val cloudFrontUtilities = CloudFrontUtilities.create()
    
    val signedUrlRequest = SignedUrlRequest.builder()
        .url("https://your-cloudfront-domain/path/to/content")
        .privateKey(privateKey)
        .keyPairId("your-cloudfront-key-pair-id")
        .expirationTime(java.time.Instant.now().plusHours(1)) // 1小时后过期
        .build()
    
    val signedUrl = cloudFrontUtilities.getSignedUrl(signedUrlRequest)
    println("Signed URL: $signedUrl")
}

方案3：用AWS Secrets Manager存储私钥（增强安全性） #

若担心环境变量泄露（如容器日志、进程列表捕获），可将私钥存入AWS Secrets Manager，在ECS Task Definition中配置自动拉取该秘密到环境变量：

在Task Definition的containerDefinitions中添加：

"secrets": [
  {
    "name": "CLOUDFRONT_PRIVATE_KEY",
    "valueFrom": "arn:aws:secretsmanager:region:account-id:secret:your-secret-name-xxxxxx"
  }
]

之后即可结合方案1或方案2的代码读取私钥，全程无需手动处理敏感信息的传输。

内容的提问来源于stack exchange，提问作者Perfidy Dragons