如何在ECS Docker容器中用Secrets Manager的AES密钥加密S3静态文件？

针对你在ECS容器环境下的需求，核心思路是全程在内存中使用从Secrets Manager动态拉取的AES密钥，避免密钥落地到容器本地存储，具体实现步骤如下：

1. 配置ECS任务的IAM权限 #

首先要给ECS任务执行角色添加访问Secrets Manager的权限，确保容器能安全拉取AES密钥。如果你的Secrets Manager密钥是用AWS KMS加密存储的，还需要添加KMS解密权限。示例IAM策略如下：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "secretsmanager:GetSecretValue",
            "Resource": "arn:aws:secretsmanager:your-region:your-account-id:secret:your-aes-key-name-*"
        },
        {
            "Effect": "Allow",
            "Action": "kms:Decrypt",
            "Resource": "arn:aws:kms:your-region:your-account-id:key/your-kms-key-id"
        }
    ]
}

2. 容器内动态拉取密钥（内存级） #

在容器的应用代码中集成AWS SDK，在需要加解密操作前，直接从Secrets Manager拉取密钥到内存变量，绝对不要将密钥写入容器的文件系统。以Python为例，用boto3拉取密钥的代码片段：

import boto3
import json

def get_aes_key_from_secrets_manager(secret_name):
    client = boto3.client('secretsmanager')
    response = client.get_secret_value(SecretId=secret_name)
    # 假设密钥以JSON格式存储，比如{"aes_key": "hex-encoded-key"}
    secret_data = json.loads(response['SecretString'])
    # 解码十六进制格式的密钥（推荐用十六进制/base64存储二进制密钥）
    aes_key = bytes.fromhex(secret_data['aes_key'])
    return aes_key

3. 内存中完成AES加解密与S3文件交互 #

全程在内存中处理文件的加解密和传输，避免明文或密钥落地：

加密流程 #

1. 从上游获取明文数据（如果是文件，读取到内存字节流）
2. 调用上述函数拉取AES密钥到内存
3. 使用AES-GCM模式（带认证的加密，比ECB/CBC更安全）加密内存中的明文
4. 将加密后的数据直接上传到S3（无需写入本地文件）
5. 立即清除内存中的密钥变量（比如del aes_key）

解密流程 #

1. 从S3下载加密数据到内存字节流
2. 拉取AES密钥到内存
3. 使用对应AES模式解密内存中的数据
4. 将解密后的明文传递给下游处理（无需写入本地文件）
5. 立即清除内存中的密钥变量

示例Python加密代码（结合S3）：

from cryptography.hazmat.primitives.ciphers import Cipher, algorithms, modes
from cryptography.hazmat.backends import default_backend
import os
import boto3

s3_client = boto3.client('s3')

def encrypt_and_upload_to_s3(plain_data, bucket_name, s3_key, secret_name):
    # 拉取密钥
    aes_key = get_aes_key_from_secrets_manager(secret_name)
    # 生成随机IV（AES-GCM推荐用12字节IV）
    iv = os.urandom(12)
    # 初始化加密器
    cipher = Cipher(algorithms.AES(aes_key), modes.GCM(iv), backend=default_backend())
    encryptor = cipher.encryptor()
    # 加密数据
    ciphertext = encryptor.update(plain_data) + encryptor.finalize()
    # 保存认证标签（解密时需要）
    tag = encryptor.tag
    # 将IV、标签、密文打包上传（IV和标签无需加密）
    upload_data = iv + tag + ciphertext
    s3_client.put_object(Bucket=bucket_name, Key=s3_key, Body=upload_data)
    # 清除内存中的密钥
    del aes_key

解密流程示例： #

def download_and_decrypt_from_s3(bucket_name, s3_key, secret_name):
    # 从S3下载加密数据到内存
    response = s3_client.get_object(Bucket=bucket_name, Key=s3_key)
    encrypted_data = response['Body'].read()
    # 拆分IV、标签、密文
    iv = encrypted_data[:12]
    tag = encrypted_data[12:28]
    ciphertext = encrypted_data[28:]
    # 拉取密钥
    aes_key = get_aes_key_from_secrets_manager(secret_name)
    # 初始化解密器
    cipher = Cipher(algorithms.AES(aes_key), modes.GCM(iv, tag), backend=default_backend())
    decryptor = cipher.decryptor()
    # 解密数据
    plain_data = decryptor.update(ciphertext) + decryptor.finalize()
    # 清除内存中的密钥
    del aes_key
    return plain_data

4. 安全与优化建议 #

• 密钥缓存：可以在内存中短时间缓存密钥（比如5分钟），减少Secrets Manager的API调用次数，但要确保缓存不会被持久化到磁盘（使用内存缓存库，如functools.lru_cache，注意密钥是敏感数据，缓存时需谨慎）
• 密钥轮换：当Secrets Manager中的AES密钥轮换后，容器下次拉取会自动获取新密钥；旧密钥保留在Secrets Manager的版本中，用于解密之前加密的文件
• 容器安全加固：禁用容器的核心转储（避免内存中的密钥被dump），限制容器的系统权限，避免密钥泄露
• 避免环境变量存密钥：不要将密钥通过环境变量注入容器，因为环境变量可能被进程列表、容器日志或第三方工具捕获，动态拉取更安全

内容的提问来源于stack exchange，提问作者Cole Fudge