能否通过AWS CLI分开传递QuickSight数据源凭证与其他参数？

完全可行，有两种常用方式可以实现：

方式一：CLI参数覆盖JSON中的凭证字段 #

AWS CLI允许混合使用--cli-input-json和单独的命令行参数，且CLI参数优先级高于JSON内的配置。你可以先从JSON文件中移除凭证相关内容，再通过--credentials参数单独传递用户名和密码。

步骤1：修改JSON文件（移除凭证部分） #

修改create-data-source.json，保留除凭证外的所有参数：

{
  "AwsAccountId": "123456789012",
  "DataSourceId": "my-rds-ds",
  "Name": "My RDS Data Source",
  "Type": "RDS",
  "DataSourceParameters": {
    "RdsParameters": {
      "InstanceId": "db-1234",
      "Database": "my-db"
    }
  }
}

步骤2：在CLI命令中传递凭证 #

直接在命令里通过--credentials传入凭证JSON字符串：

aws quicksight create-data-source \
  --cli-input-json file://./create-data-source.json \
  --credentials '{"CredentialPair": {"Username": "your-db-user", "Password": "your-db-pass"}}'

如果不想在命令行明文暴露密码，可以用环境变量存储：

export DB_PASSWORD="your-secure-password"
aws quicksight create-data-source \
  --cli-input-json file://./create-data-source.json \
  --credentials '{"CredentialPair": {"Username": "your-db-user", "Password": "'"$DB_PASSWORD"'"}}'

方式二：使用AWS Secrets Manager存储凭证（生产环境推荐） #

把数据库凭证存储到AWS Secrets Manager，然后在JSON文件中引用Secret的ARN，无需在命令行传递明文凭证，更安全。

步骤1：将凭证存入Secrets Manager #

先在Secrets Manager中创建包含用户名和密码的密钥，获取对应的ARN（比如arn:aws:secretsmanager:us-east-1:123456789012:secret:my-db-creds-xxxxxx）。

步骤2：修改JSON文件引用Secret ARN #

更新create-data-source.json，添加凭证引用：

{
  "AwsAccountId": "123456789012",
  "DataSourceId": "my-rds-ds",
  "Name": "My RDS Data Source",
  "Type": "RDS",
  "DataSourceParameters": {
    "RdsParameters": {
      "InstanceId": "db-1234",
      "Database": "my-db"
    }
  },
  "Credentials": {
    "SecretArn": "arn:aws:secretsmanager:us-east-1:123456789012:secret:my-db-creds-xxxxxx"
  }
}

步骤3：执行原命令 #

确保QuickSight的服务角色有访问该Secret的IAM权限后，直接运行原命令即可：

aws quicksight create-data-source --cli-input-json file://./create-data-source.json

内容的提问来源于stack exchange，提问作者viki