Spring Boot如何通过AWS Secrets Manager凭证配置DocumentDB连接

首先先修正你现有配置里的三个格式错误，这几个问题会直接导致连接失败：

1. 你当前配置的Mongo连接串里，路径/dashboard后拼接副本集参数时缺少?分隔符
2. 区域标识us-east 1存在多余空格，正确写法为us-east-1
3. DocumentDB默认强制TLS连接，原连接串未加ssl=true参数，会被集群拒绝连接

下面提供两种可直接落地的实现方式，根据你的需求选择即可。 #

方式一：零代码自动配置（最适合初学者） #

利用Spring Cloud AWS的配置导入能力，启动时自动拉取Secrets Manager的凭证覆盖本地配置，不需要写任何自定义Java代码：

1. 先把application.properties里硬编码的spring.data.mongodb.uri、spring.data.mongodb.database两行注释掉，避免配置冲突
2. 确认你在AWS Secrets Manager中存储的Beacon/DevDB密钥为JSON格式，且key和Spring Data Mongo的配置项一一对应，参考结构：

{
  "spring.data.mongodb.host": "你的DocumentDB集群端点（不带端口）",
  "spring.data.mongodb.port": "27017",
  "spring.data.mongodb.database": "amitdb",
  "spring.data.mongodb.username": "DocumentDB账号",
  "spring.data.mongodb.password": "DocumentDB密码",
  "spring.data.mongodb.replica-set": "rs0",
  "spring.data.mongodb.read-preference": "secondaryPreferred",
  "spring.data.mongodb.retry-writes": "false",
  "spring.data.mongodb.ssl-enabled": "true"
}

3. 在pom.xml中引入依赖：

<dependency>
    <groupId>io.awspring.cloud</groupId>
    <artifactId>spring-cloud-starter-aws-secrets-manager-config</artifactId>
</dependency>

4. 在application.properties中添加配置导入规则，启动时自动拉取密钥配置：

spring.config.import=aws-secretsmanager:Beacon/DevDB
spring.aws.secretsmanager.secretName=Beacon/DevDB
aws.region=us-east-1

配置完成后启动项目，Spring Boot会自动把拉取到的凭证注入MongoDB自动配置类，直接注入MongoTemplate就能正常使用。 #

方式二：自定义配置类手动构建连接（适合需要自定义逻辑的场景） #

如果你需要自己控制凭证拉取、连接串拼接的逻辑，可以手动写配置类实现：

1. 在pom.xml中引入必要依赖：

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-data-mongodb</artifactId>
</dependency>
<dependency>
    <groupId>software.amazon.awssdk</groupId>
    <artifactId>secretsmanager</artifactId>
</dependency>
<dependency>
    <groupId>com.fasterxml.jackson.core</groupId>
    <artifactId>jackson-databind</artifactId>
</dependency>

2. 注释掉application.properties里硬编码的spring.data.mongodb.uri、spring.data.mongodb.database配置，保留secretName配置：

spring.aws.secretsmanager.secretName=Beacon/DevDB
aws.region=us-east-1

3. 新建配置类手动拉取凭证构建Mongo客户端：

import com.fasterxml.jackson.databind.JsonNode;
import com.fasterxml.jackson.databind.ObjectMapper;
import org.springframework.beans.factory.annotation.Value;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.data.mongodb.MongoDatabaseFactory;
import org.springframework.data.mongodb.core.MongoTemplate;
import org.springframework.data.mongodb.core.SimpleMongoClientDatabaseFactory;
import software.amazon.awssdk.regions.Region;
import software.amazon.awssdk.services.secretsmanager.SecretsManagerClient;
import software.amazon.awssdk.services.secretsmanager.model.GetSecretValueRequest;

@Configuration
public class DocumentDbConfig {

    @Value("${spring.aws.secretsmanager.secretName}")
    private String secretName;

    @Value("${aws.region}")
    private String awsRegion;

    @Bean
    public MongoTemplate mongoTemplate() throws Exception {
        // 初始化Secrets Manager客户端，SDK会自动读取环境中的AWS凭证
        SecretsManagerClient smClient = SecretsManagerClient.builder()
                .region(Region.of(awsRegion))
                .build();

        // 拉取指定密钥
        String secretStr = smClient.getSecretValue(GetSecretValueRequest.builder()
                .secretId(secretName)
                .build()).secretString();

        // 解析密钥JSON，这里的key要和你存在Secrets Manager里的字段名完全一致
        JsonNode secretJson = new ObjectMapper().readTree(secretStr);
        String username = secretJson.get("username").asText();
        String password = secretJson.get("password").asText();
        String host = secretJson.get("host").asText();
        String port = secretJson.get("port").asText("27017");
        String dbName = secretJson.get("database").asText("amitdb");
        String replicaSet = secretJson.get("replicaSet").asText("rs0");

        // 拼接符合DocumentDB要求的连接串
        String mongoUri = String.format(
                "mongodb://%s:%s@%s:%s/%s?replicaSet=%s&readPreference=secondaryPreferred&retryWrites=false&ssl=true",
                username, password, host, port, dbName, replicaSet
        );

        MongoDatabaseFactory dbFactory = new SimpleMongoClientDatabaseFactory(mongoUri);
        return new MongoTemplate(dbFactory);
    }
}

注意事项 #

• 凭证权限：本地调试时需要在本地配置AWS凭证（~/.aws/credentials或环境变量），部署到AWS服务（EC2/ECS/EKS）时，给计算资源绑定的IAM角色分配对应密钥的secretsmanager:GetSecretValue权限即可，不需要硬编码AK/SK
• TLS配置：如果你的DocumentDB集群开启了TLS（默认开启），除了连接串加ssl=true，如果集群用的是AWS自签证书，还需要把证书导入JVM信任库，不然会报SSL握手失败
• 字段匹配：手动解析密钥时，一定要保证代码里取的key和你存在Secrets Manager里的JSON字段名一致，不然会报空指针
• 配置优先级：如果同时保留了application.properties里硬编码的Mongo配置和自定义配置类，自定义Bean会优先生效，但建议删掉硬编码配置避免混淆

内容的提问来源于stack exchange，提问作者Theepag