AWS ECS EC2任务读取Secret Manager时取密钥名而非值的问题

问题背景 #

我有多个ECS容器需要注入敏感信息，已完成以下配置：

• 在AWS Secret Manager中创建密钥并添加键值对
• 为taskExecutionRole添加读取密钥的内联策略
• 任务定义中配置secrets字段如下：

"secrets": [
  {
    "name": "ELASTIC_SEARCH_URL",
    "valueFrom": "arn:aws:secretsmanager:<region>:<accountID>:secret:staging/environment-12345"
  }
]

目前遇到的异常：

• Fargate上的Ruby on Rails Web服务器容器可正常读取密钥值
• EC2上的控制台容器读取到的是密钥ARN（名称）而非实际值

已确认的排查项 #

• 容器实例的ECS代理版本≥1.37.0
• taskExecutionRole权限配置无误
• 两个容器所属VPC一致
• 任务定义参数多次校验正确
• 读取环境变量的代码在Fargate及本地环境运行正常，不存在的变量返回nil，但涉事变量返回异常值

相关代码片段 #

require 'faraday_middleware/aws_sigv4'
Elasticsearch::Model.client = Elasticsearch::Client.new url: ENV['ELASTIC_SEARCH_URL'] do |f|
    f.use FaradayMiddleware::Gzip
    f.request :aws_sigv4,
            credentials: Aws::Credentials.new(ENV['AWS_ACCESS_KEY'], ENV['AWS_SECRET_ACCESS_KEY']),
            service: 'es',
            region: '<region>'
end

排查方向与解决方案 #

• 检查密钥格式与valueFrom配置：如果Secret Manager中的密钥是多键值对结构，需在valueFrom中明确指定对应键，格式为arn:aws:secretsmanager:<region>:<accountID>:secret:staging/environment-12345:ELASTIC_SEARCH_URL::。Fargate可能默认处理多键密钥的方式与EC2代理不同，导致EC2端无法正确解析单一值。
• 验证EC2容器实例的网络连通性：确保EC2实例能访问Secret Manager服务：
  • 若使用VPC端点，确认端点所属VPC与实例一致，安全组允许实例向端点发起请求
  • 若依赖公网访问，确认实例有公网出口（如绑定弹性IP、配置NAT网关）
• 查看ECS任务日志：检查EC2上的任务日志，查看是否存在拉取密钥时的权限拒绝、网络超时等错误——这类异常会导致ECS无法获取实际值，转而返回ARN作为 fallback。
• 检查ecsInstanceRole权限：虽然taskExecutionRole负责拉取密钥，但如果EC2实例的ecsInstanceRole没有权限访问Secret Manager的VPC端点或相关资源，也可能导致拉取失败。
• 升级ECS容器代理版本：即使版本≥1.37.0，部分旧版本可能存在多键密钥解析的bug，尝试升级到最新稳定版。

内容的提问来源于stack exchange，提问作者Debajyoti Dutta