Ubuntu中systemd服务无法从AWS Secrets Manager获取密钥问题排查

核心原因 #

• systemd不支持直接解析Shell命令替换：Environment配置项仅会将内容当作纯字符串赋值，不会调用Shell执行反引号或$()包裹的命令，因此你写的整条命令会被直接作为PASSWORD的取值，而非命令执行后的结果。
• 环境与权限差异：systemd服务默认运行环境的PATH等变量和用户Shell不同，可能找不到aws或jq的二进制文件；同时服务运行用户可能缺少AWS权限配置（比如无~/.aws/credentials文件、IAM角色权限不足），导致命令在服务上下文执行失败。

解决方法 #

方法1：用ExecStartPre生成环境变量文件 #

通过ExecStartPre提前执行命令获取密钥，写入环境文件后用EnvironmentFile加载：

[Service]
# 指定aws和jq完整路径，避免PATH问题，将密钥写入安全临时路径
ExecStartPre=/bin/sh -c "/usr/bin/aws secretsmanager get-secret-value --secret-id aws_pwds | /usr/bin/jq -r '.SecretString | fromjson | .test_pwd' > /var/run/service_pwd.env"
# 加载生成的环境变量文件
EnvironmentFile=/var/run/service_pwd.env
# 启动目标服务程序
ExecStart=/path/to/your/application

注意：使用/var/run比/tmp更安全，需确保服务用户对该路径有读写权限。

方法2：在ExecStart中通过Shell传递环境变量 #

直接在ExecStart里调用Shell，先完成密钥获取再启动服务：

[Service]
ExecStart=/bin/sh -c 'PASSWORD=$(/usr/bin/aws secretsmanager get-secret-value --secret-id aws_pwds | /usr/bin/jq -r ".SecretString | fromjson | .test_pwd") exec /path/to/your/application'

这里的exec会替换Shell进程为目标服务程序，避免残留额外Shell进程。

额外注意事项 #

• 必须使用aws和jq的完整路径（如/usr/bin/aws），防止因systemd默认PATH不包含对应目录导致命令找不到。
• 配置服务用户的AWS权限：EC2实例可给实例IAM角色添加secretsmanager:GetSecretValue权限；本地环境需确保服务用户的~/.aws目录有正确的凭证文件。
• 可考虑缓存密钥结果，比如将密钥写入带过期时间的文件，减少AWS API调用次数和启动延迟。

内容的提问来源于stack exchange，提问作者NoamiA