如何通过Terraform在AWS ECS容器中加载Parameter Store证书

一、核心实现思路 #

无需复杂存储卷，直接通过ECS容器定义的命令覆盖逻辑，结合Terraform注入SSM参数内容，利用Fargate自带的临时存储即可完成需求——证书仅需在任务运行期间可用，无需持久化存储。

二、具体Terraform配置实现 #

1. 基础版：直接注入证书内容到文件 #

在containerDefinitions中，通过entrypoint和command先创建证书文件并写入内容，再启动镜像的原业务命令：

containerDefinitions = jsonencode([
  {
    name = "my-mapper-container"
    image = "my-mapper-image:latest"
    entrypoint = ["sh", "-c"]
    command = [
      <<EOF
mkdir -p /mnt/certs && echo "${data.aws_ssm_parameter.certificate.value}" > /mnt/certs/certificate.pem && exec my-mapper-binary -certificate "/mnt/certs/certificate.pem"
EOF
    ]
    essential = true
    # 按需添加资源限制、日志配置等其他参数
  }
])

2. 安全优化版：用ECS Secrets注入（适用于SecureString类型证书） #

如果证书是SSM的SecureString类型，推荐用ECS Secrets将证书内容注入为环境变量，避免明文暴露在Terraform配置或状态中：

containerDefinitions = jsonencode([
  {
    name = "my-mapper-container"
    image = "my-mapper-image:latest"
    entrypoint = ["sh", "-c"]
    command = [
      <<EOF
mkdir -p /mnt/certs && echo "$CERT_CONTENT" > /mnt/certs/certificate.pem && exec my-mapper-binary -certificate "/mnt/certs/certificate.pem"
EOF
    ]
    secrets = [
      {
        name = "CERT_CONTENT"
        valueFrom = "${data.aws_ssm_parameter.certificate.arn}"
      }
    ]
    essential = true
  }
])

三、存储选项解惑 #

• Docker Volumes（ECS托管卷）：用于持久化存储，证书是临时使用的敏感数据，完全没必要，反而增加配置复杂度。
• Amazon EFS：用于跨任务/实例共享持久化数据，不适合单任务临时证书的场景。
• Bind Mounts：仅支持ECS EC2模式，依赖宿主机目录，Fargate不支持，直接排除。
• Fargate Task Storage：即容器的临时存储（默认/tmp或自定义目录），任务运行期间存在、销毁后消失，刚好匹配证书仅需任务运行时可用的需求。

内容的提问来源于stack exchange，提问作者Niko