AWS CodeBuild如何注入Secrets Manager密钥并配置build阶段命令

你当前在buildspec.yaml中编写的密钥引用规则语法正确，CodeBuild会在构建启动阶段自动拉取对应密钥值，注入为构建容器内的全局环境变量，build阶段无需额外编写拉取密钥的命令，直接调用对应环境变量即可。

前置必做配置（否则密钥注入会直接失败） #

• 给CodeBuild项目绑定的服务角色添加secretsmanager:GetSecretValue权限，授权资源必须覆盖你在Secrets Manager中创建的dbcreds密钥。
• 如果dbcreds密钥使用自定义KMS密钥加密，还需要给同一个服务角色添加对应KMS密钥的kms:Decrypt权限。

build阶段命令编写示例 #

完整buildspec参考写法如下，你可以根据自己的构建场景调整命令：

version: 0.2
env:
  secrets-manager:
    DB_PASSWORD: "dbcreds:password"
    DB_USER: "dbcreds:user"
phases:
  install:
    runtime-versions:
      # 按你的实际技术栈选择对应运行时，比如java、python、nodejs
      java: corretto17
    commands:
      # 安装构建需要的依赖即可，不需要额外安装aws cli专门拉取密钥
      - echo "进入依赖安装阶段"
  build:
    commands:
      # 调试阶段可验证变量是否注入成功，正式构建请删除打印密码的命令，避免敏感信息泄露到日志
      - echo "已注入数据库用户名：$DB_USER"
      # 场景1：直接在数据库连接命令中使用凭证
      - mysql -h 你的数据库地址 -P 3306 -u $DB_USER -p$DB_PASSWORD -e "SELECT 1 AS build_db_connect_check;"
      # 场景2：将凭证写入项目配置文件
      - sed -i "s/REPLACE_DB_USER/$DB_USER/g" ./src/main/resources/application-prod.properties
      - sed -i "s/REPLACE_DB_PWD/$DB_PASSWORD/g" ./src/main/resources/application-prod.properties
      # 场景3：传入构建打包命令
      - mvn clean package -DskipTests

注意事项 #

• 你当前使用的密钥名:JSON键名的引用写法是正确的，CodeBuild会自动解析密钥对应的JSON结构，把对应字段的值注入为环境变量，不需要手动解析JSON。
• 注入的环境变量仅在本次构建的容器生命周期内有效，构建结束容器销毁后变量会自动清除，不会残留。
• 不要在buildspec中明文打印$DB_PASSWORD这类敏感变量的值，避免凭证泄露到构建日志。

内容的提问来源于stack exchange，提问作者Christoph Fischer