如何在GitLab CI/CD中从AWS Secrets Manager获取密钥并赋值变量

要实现将AWS Secrets Manager中的DB_URL值赋值给GitLab CI/CD变量DATABASE_CONNECTION，你需要借助jq工具解析JSON返回结果，具体配置如下：

修改后的部署作业配置 #

deploy-dev:      # This job runs in the deploy stage.
  image: dockerxxxx/awscli
  stage: deploy
  environment: 
    name: development
  before_script:
    # 根据镜像基础系统安装jq，示例为Alpine系统，Debian/Ubuntu可替换为 apt-get update && apt-get install -y jq
    - apk add --no-cache jq
  script:
    # 从Secrets Manager获取密钥并解析出DB_URL，赋值给环境变量
    - export DATABASE_CONNECTION=$(aws secretsmanager get-secret-value --secret-id MyTestSecret | jq -r '.SecretString | fromjson | .DB_URL')
    # 后续可直接使用DATABASE_CONNECTION变量执行部署操作
    - echo "开始部署，使用数据库连接串"  # 替换为你的实际部署命令，避免输出敏感信息

关键步骤说明 #

1. 安装jq：AWS CLI镜像通常默认不带JSON解析工具jq，需要在before_script中根据镜像的基础系统完成安装。
2. 解析并赋值：
   • 通过aws secretsmanager get-secret-value获取密钥的JSON结果
   • 用jq做两层解析：先提取外层的SecretString字段，再将该字段的JSON字符串解析为对象，最终取出DB_URL的值
   • 使用export将值设置为环境变量，确保后续脚本命令可以直接调用$DATABASE_CONNECTION

注意事项 #

• 调试时可以临时添加echo $DATABASE_CONNECTION验证变量，但生产环境必须移除该命令，避免泄露敏感信息
• 确保GitLab运行器已配置好访问AWS Secrets Manager的权限（你已确认此条件满足）

内容的提问来源于stack exchange，提问作者LP13