AWS CDK中从SecretManager获取RDS明文密码的问题咨询

你拿到占位符是CDK的预期行为：CDK执行时处于模板合成阶段，此时RDS实例、关联的Secrets Manager密钥都还没实际创建，密码是CloudFormation部署资源时才动态生成的，合成阶段根本不存在真实明文，调用unsafe_unwrap()只能拿到CloudFormation的动态引用标记，不可能在CDK代码运行阶段拿到明文。

不要在CDK合成阶段尝试提取明文密码，根据你的使用场景选对应方案：

• 同栈内创建关联AWS资源（Lambda、ECS服务、应用配置等）：直接传递Secret对应字段的SecretValue对象即可，不要调用unsafe_unwrap()。CDK会自动生成CloudFormation动态引用，给关联资源配置读取密钥的IAM权限，部署时CloudFormation会自动解析成真实明文注入资源。
  示例：给Lambda配置RDS密码环境变量

  lambda_function.add_environment(
      "DB_PASSWORD",
      self.cluster.secret.secret_value_from_json("password")
  )
  

  RDS实例地址直接使用self.cluster.db_instance_endpoint_address属性传递即可，同样是部署时自动解析的动态值，不需要提前提取。
• 部署完成后需要本地获取明文密码：直接通过AWS CLI调用Secrets Manager接口查询，不要在CDK代码里取值：

  aws secretsmanager get-secret-value --secret-id <替换为你的RDS关联Secret的ARN> --query SecretString --output text | jq -r '.password'
  

  执行前确保你的本地AWS凭证拥有对应密钥的secretsmanager:GetSecretValue权限即可拿到明文。

• 严禁在CDK代码中对Secret值调用unsafe_unwrap()，该方法会把值硬编码到生成的CloudFormation模板中，不仅拿不到真实值，还会造成密钥明文泄露风险。
• 跨栈传递RDS密码、地址值时，直接传递Secret对象、endpoint属性对象即可，不要转成字符串提前取值，否则又会出现占位符问题。
• 如果你创建的自定义资源需要用到RDS密码，同样直接传SecretValue对象，CDK会自动给自定义资源的执行角色授权，部署时自动解析值传入。

内容的提问来源于stack exchange，提问作者Vladimir Tselm