AWS CodeBuild中Secrets Manager环境变量回显为***问题排查

你看到echo打印密钥环境变量返回***，不是没拉取到有效值，这是CodeBuild默认的敏感信息日志脱敏机制：所有通过secrets-manager配置块注入的环境变量，只要输出到构建日志，都会被自动替换为星号，属于平台默认的防密钥泄露安全逻辑，和值是否有效无关。

后续命令调用失败才是真的存在配置问题，常见错误点和修复方式如下：

• 密钥引用格式错误
  这是最高发的问题。CodeBuild注入Secrets Manager密钥必须写在buildspec的env.secrets-manager块下，不能和普通明文环境变量混写在env.variables里，正确格式分两种场景：

  env:
    secrets-manager:
      # 场景1：密钥存的是纯文本字符串，直接写 自定义环境变量名: 密钥名称/完整ARN
      MY_API_KEY: my-service-api-key
      # 场景2：密钥存的是JSON键值对，格式为 自定义环境变量名: 密钥名称:JSON内对应键名
      DB_PWD: my-prod-db-cred:password
      DB_USER: my-prod-db-cred:username
  

  常见写错的情况包括：JSON结构密钥没指定末尾的键名，拉到的是整个JSON字符串而非目标值；冒号前后加了多余空格；密钥名拼写错误；把密钥写到了普通环境变量块里，值为空。
• 跨区域密钥拉取失败
  如果你只写密钥名不写完整ARN，CodeBuild默认只会在当前项目所在区域查找密钥，跨区域存储的密钥会拉取失败。这种情况直接填密钥的完整ARN即可，CodeBuild会自动从ARN中解析区域、账号信息完成拉取。
• 密钥格式不兼容
  如果你在Secrets Manager中存的是二进制类型密钥，CodeBuild拉取后会得到乱码，后续命令调用自然失败。需要提前将二进制内容转成base64字符串以Plaintext类型存储，再注入环境变量使用。

不要用echo打印变量值验证，脱敏机制下永远只会返回星号。你可以通过以下方式验证值是否正确：

phases:
  build:
    commands:
      # 注意：该临时文件仅做本地验证，不要上传到制品库、不要打印到日志
      - printenv DB_PWD > /tmp/sec_check.txt
      # 打印值的长度，和你实际存储的密钥长度比对，一致就说明拉取成功
      - wc -c /tmp/sec_check.txt

只要长度匹配，就说明环境变量已经正确注入，后续调用失败需要排查命令本身的变量引用写法，比如是不是加了多余的引号、变量名拼写错误。

内容的提问来源于stack exchange，提问作者Hoonerbean