Amplify构建中无法通过Secrets Manager获取环境变量问题求助

问题描述 #

我尝试在Amplify应用的构建流程中将Secrets Manager中的值作为环境变量使用，按照官方文档和社区教程配置了amplify.yml：

version: 1
env:
  secrets-manager:
    TOKEN: mySecret:myKey
    
frontend:
  phases:
    preBuild:
      commands:
        - yarn install
    build:
      commands:
        - echo "$TOKEN"
        - yarn run build
  artifacts:
    baseDirectory: .next
    files:
      - '**/*'
  cache:
    paths:
      - node_modules/**/*
      - .next/cache/**/*

已经给Amplify服务角色附加了Secrets Manager的访问权限，但构建时执行echo "$TOKEN"返回空值。目前只能用Parameter Store存储敏感变量，但它会在echo时暴露值，而Secrets Manager的值会被日志审查为***，安全性更高，想知道Amplify构建是否支持直接读取Secrets Manager的键值对，以及如何解决空值问题。

解决方案 #

1. 验证权限配置的准确性 #

确保Amplify服务角色的IAM权限包含secretsmanager:GetSecretValue，并且资源范围正确指定了目标Secret的ARN（避免通配符导致的潜在权限问题），示例权限策略：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "secretsmanager:GetSecretValue",
            "Resource": "arn:aws:secretsmanager:你的区域:你的账号ID:secret:mySecret-随机后缀"
        }
    ]
}

注意：Secret的ARN末尾的随机后缀是AWS自动生成的，需要在Secrets Manager控制台复制完整ARN。

2. 确认Secret名称/键的正确性 #

• mySecret需要是Secret的完整名称或ARN，若使用别名，需确保别名指向正确的Secret；
• myKey是Secret键值对中的键名，注意大小写敏感，检查是否和Secret中存储的键完全一致。

3. 排查构建日志中的错误 #

去Amplify控制台的构建日志中搜索Secrets Manager相关条目，通常会有明确错误提示：

• 若出现AccessDeniedException，说明权限配置存在问题；
• 若出现ResourceNotFoundException，说明Secret名称/ARN不正确，或Amplify应用的区域与Secret的区域不匹配。

4. 明确日志屏蔽逻辑 #

如果Secrets Manager变量读取成功，echo "$TOKEN"会输出***而非空值。空值说明变量根本没被加载，不是被屏蔽，重点排查权限和资源配置问题。

5. 尝试用ARN指定Secret #

避免名称解析问题，直接在amplify.yml中使用Secret的完整ARN：

env:
  secrets-manager:
    TOKEN: arn:aws:secretsmanager:us-east-1:123456789012:secret:mySecret-abc123:myKey

内容的提问来源于stack exchange，提问作者chris