如何在Docker中通过AWS Secrets Manager设置环境变量？

你之前的两种方法无效的核心原因：

1. 每个RUN命令都是在独立的临时容器进程中执行，export的变量仅在当前进程生命周期内有效，不会传递到后续构建步骤或容器运行时。
2. 写入/etc/bash.bashrc的配置仅在交互式bash启动时加载，而Docker容器默认以指定的CMD/ENTRYPOINT启动，不会触发该配置加载；同时构建时执行aws命令还需要镜像内有AWS CLI，且构建环境具备访问Secrets Manager的权限，这本身也存在安全和可用性隐患。

以下是几种可行的集成方式，按安全性和实用性排序：

方案1：容器运行时动态获取（推荐，无敏感信息残留） #

不在构建阶段获取密钥，而是在容器启动时动态拉取并设置环境变量，避免敏感数据留在镜像中。

步骤1：编写启动脚本（entrypoint.sh） #

#!/bin/bash
# 直接用aws-cli的--query参数提取字段，无需jq依赖
export USERNAME=$(aws secretsmanager get-secret-value \
  --secret-id /secret/id \
  --region region-example-north-1 \
  --query 'SecretString.username' \
  --output text)

export PASSWORD=$(aws secretsmanager get-secret-value \
  --secret-id /secret/id \
  --region region-example-north-1 \
  --query 'SecretString.password' \
  --output text)

# 执行容器原本的启动命令
exec "$@"

步骤2：修改Dockerfile #

# 安装AWS CLI（如果基础镜像没有）
RUN apt-get update && apt-get install -y aws-cli && rm -rf /var/lib/apt/lists/*

# 复制并设置启动脚本权限
COPY entrypoint.sh /usr/local/bin/
RUN chmod +x /usr/local/bin/entrypoint.sh

# 设置入口脚本，保留原CMD命令
ENTRYPOINT ["entrypoint.sh"]
CMD ["你的应用启动命令，比如python app.py"]

权限说明 #

• 如果在AWS ECS/EKS上运行，给容器任务附加具备secretsmanager:GetSecretValue权限的IAM角色即可，无需手动配置密钥。
• 本地测试时，需在容器启动前配置AWS凭证（如环境变量AWS_ACCESS_KEY_ID/AWS_SECRET_ACCESS_KEY）。

方案2：构建阶段提取并写入配置文件（适合构建环境安全可控场景） #

如果必须在构建阶段处理密钥，可将提取的变量写入全局profile配置，确保容器启动时自动加载：

# 安装依赖
RUN apt-get update && apt-get install -y aws-cli jq && rm -rf /var/lib/apt/lists/*

# 提取密钥并写入profile脚本（容器启动时自动加载）
RUN SECRET_JSON=$(aws secretsmanager get-secret-value \
  --secret-id /secret/id \
  --region region-example-north-1 \
  --query SecretString \
  --output text) && \
  echo "export USERNAME=$(echo $SECRET_JSON | jq -r '.username')" >> /etc/profile.d/secrets.sh && \
  echo "export PASSWORD=$(echo $SECRET_JSON | jq -r '.password')" >> /etc/profile.d/secrets.sh

# 可选：确保脚本可执行
RUN chmod +x /etc/profile.d/secrets.sh

⚠️ 注意：此方法会将密钥明文留在镜像的文件系统中，仅适合构建环境和镜像分发全链路安全可控的场景。

方案3：直接用ENV设置（不推荐，敏感信息暴露） #

绝对不建议使用ENV直接设置密钥，因为ENV变量会被写入镜像元数据，通过docker inspect即可查看，严重泄露敏感信息：

# 示例：仅作反面教材，禁止在生产环境使用
RUN SECRET_JSON=$(aws secretsmanager get-secret-value --secret-id /secret/id --region region-example-north-1 --query SecretString --output text)
ENV USERNAME=$(echo $SECRET_JSON | jq -r '.username')
ENV PASSWORD=$(echo $SECRET_JSON | jq -r '.password')

内容的提问来源于stack exchange，提问作者Shubham Srivastava