Bitbucket流水线部署Docker化PHP至Fargate：敏感参数获取失败求助

问题根源分析 #

当前参数值为空，核心原因集中在以下几点：

• Docker镜像未安装AWS CLI、jq等依赖工具，导致命令执行失败
• Fargate任务的IAM角色缺少SSM参数读取权限
• AWS CLI未指定正确区域，或VPC网络无法访问SSM服务

分步解决方案 #

1. 升级Docker镜像，安装必要工具 #

修改Dockerfile，补充AWS CLI和jq的安装步骤（适配Debian基础镜像）：

FROM php:8.0-apache

WORKDIR /var/www/html

# 安装依赖、AWS CLI和jq
RUN apt-get update && apt-get install -y \
    curl \
    unzip \
    jq \
    python3-pip \
    && pip3 install awscli \
    && apt-get clean && rm -rf /var/lib/apt/lists/*

COPY index.php index.php
EXPOSE 80

2. 配置Fargate任务的IAM权限 #

给Fargate任务的执行角色/任务角色添加SSM参数读取权限，创建并附加如下IAM策略：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ssm:GetParameter",
            "Resource": "arn:aws:ssm:<你的AWS区域>:<你的AWS账号ID>:parameter/secretValue"
        }
    ]
}

注意替换<你的AWS区域>和<你的AWS账号ID>为实际值。

3. 修正PHP脚本，增加错误排查能力 #

替换原有的反引号调用方式，改用exec捕获命令执行状态和错误，同时指定AWS区域：

<?php
// 替换为你的参数所在AWS区域
$awsRegion = 'us-east-1';

// 执行AWS CLI命令并捕获输出、错误和返回码
exec("aws ssm get-parameter --name secretValue --with-decryption --region $awsRegion 2>&1", $cmdOutput, $returnCode);

if ($returnCode !== 0) {
    echo "Hello World!";
    echo "获取密钥失败：" . implode("\n", $cmdOutput);
} else {
    // 直接用PHP解析JSON，避免依赖jq
    $response = json_decode(implode("\n", $cmdOutput), true);
    $secretValue = $response['Parameter']['Value'];
    echo "Hello World!";
    echo "Secret is $secretValue";
}
?>

4. 验证VPC网络连通性 #

如果Fargate任务部署在私有子网，需确保：

• 配置了NAT网关，允许任务访问公网的SSM服务
• 或创建了SSM的VPC端点，让任务在私有网络内访问SSM

更优方案：使用AWS SDK for PHP #

避免依赖外部CLI工具，改用官方SDK更稳定高效：

1. 更新Dockerfile，安装Composer和AWS SDK依赖

FROM php:8.0-apache

WORKDIR /var/www/html

# 安装依赖、Composer
RUN apt-get update && apt-get install -y \
    curl \
    git \
    && curl -sS https://getcomposer.org/installer | php -- --install-dir=/usr/local/bin --filename=composer \
    && apt-get clean && rm -rf /var/lib/apt/lists/*

# 安装AWS SDK需要的curl扩展
RUN docker-php-ext-install curl

COPY composer.json composer.json
RUN composer install --no-dev

COPY index.php index.php
EXPOSE 80

2. 创建composer.json引入AWS SDK

{
    "require": {
        "aws/aws-sdk-php": "^3.200"
    }
}

3. 改写PHP脚本使用SDK

<?php
require 'vendor/autoload.php';

use Aws\Ssm\SsmClient;
use Aws\Exception\AwsException;

// 初始化SSM客户端
$ssmClient = new SsmClient([
    'region' => 'us-east-1', // 替换为你的AWS区域
    'version' => 'latest'
]);

try {
    // 获取参数值
    $result = $ssmClient->getParameter([
        'Name' => 'secretValue',
        'WithDecryption' => true
    ]);
    $secretValue = $result['Parameter']['Value'];
    
    echo "Hello World!";
    echo "Secret is $secretValue";
} catch (AwsException $e) {
    echo "Hello World!";
    echo "获取密钥失败：" . $e->getMessage();
}
?>

内容的提问来源于stack exchange，提问作者Dave Michaels