SpringBoot从AWS Secrets Manager取值替换YAML占位符及凭证问题

核心思路是在Spring Boot解析配置文件占位符之前，把从Secrets Manager拉取到的键值对加载到Spring环境配置中，可按以下无侵入方式实现：

1. 先调整原有Kafka配置的占位符格式，将{userName}、{passWord}改为Spring默认支持的${userName}、${passWord}，修改后配置如下：

kafka:
    properties:
      sasl:
        mechanism: PLAIN
        jaas:
          config: org.apache.kafka.common.security.plain.PlainLoginModule required username=${userName} password=${passWord};

2. 自定义Spring上下文初始化器，在容器启动的最早期拉取Secrets Manager密钥并注入环境：

public class AwsSecretsPropertyInitializer implements ApplicationContextInitializer<ConfigurableApplicationContext> {
    @Override
    public void initialize(ConfigurableApplicationContext context) {
        // 替换为你实际的区域、密钥ID配置
        String region = "cn-north-1";
        String secretId = "confluent-kafka-credential";
        // 初始化Secrets Manager客户端
        AWSSecretsManager client = AWSSecretsManagerClientBuilder.standard()
                .withRegion(region)
                .build();
        // 拉取并解析密钥
        GetSecretValueResult secretResult = client.getSecretValue(new GetSecretValueRequest().withSecretId(secretId));
        Map<String, Object> secretKV;
        try {
            secretKV = new ObjectMapper().readValue(secretResult.getSecretString(), new TypeReference<>() {});
        } catch (JsonProcessingException e) {
            throw new RuntimeException("解析AWS密钥失败", e);
        }
        // 将密钥属性源放到最高优先级，保证占位符解析时优先取值
        MapPropertySource secretPropertySource = new MapPropertySource("awsSecretsManager", secretKV);
        context.getEnvironment().getPropertySources().addFirst(secretPropertySource);
    }
}

3. 注册初始化器让Spring自动识别：在项目resources/META-INF目录下创建spring.factories文件，写入以下配置：

org.springframework.context.ApplicationContextInitializer=com.xxx.你的包路径.AwsSecretsPropertyInitializer

完成以上配置后，Spring Boot启动时会先拉取Secrets Manager中的凭证，自动替换yml中对应的占位符，不需要修改原有Kafka相关的其他业务配置。
如果是小型项目不想写初始化逻辑，也可以在定义Kafka Producer/Consumer的配置Bean时，手动拉取Secrets Manager中的凭证，手动设置到Sasl Jaas配置属性中，跳过yml占位符解析步骤，不过这种方式侵入性更强，不推荐。

绝对不要在代码、配置文件、镜像中硬编码永久AccessKey/SecretKey，也不要明文配置到环境变量中，AWS原生支持免传永久凭证的方案，按以下步骤配置即可：

1. 最小权限配置IAM策略：创建自定义IAM策略，仅开放对应Kafka密钥的secretsmanager:GetSecretValue权限，资源范围限定到你存储Kafka凭证的单个密钥，不要授予全量Secrets Manager权限。
2. 绑定角色到ECS任务：
   • 如果选择上文自定义Initializer拉取密钥的方案，创建ECS Task Role（任务角色），把上一步创建的IAM策略绑定到该角色，在ECS任务定义中为业务容器指定这个Task Role即可。此时AWS SDK会自动通过ECS容器元数据端点获取自动轮转的临时访问凭证，你不需要在代码里手动写AWSStaticCredentialsProvider传入固定密钥，删掉客户端初始化代码中withCredentials相关的配置即可，SDK默认的凭证提供者链会自动识别ECS环境的临时凭证。
   • 如果想进一步简化代码，可以直接使用ECS原生的Secrets注入能力：给ECS Task Execution Role（任务执行角色） 绑定上述Secrets读权限策略，在任务定义的容器配置中，直接把Secrets Manager中存储的userName、passWord字段映射为容器同名环境变量。Spring Boot默认会读取同名环境变量替换yml中的占位符，连自定义初始化器和SDK拉取密钥的逻辑都不需要写，是最轻量的方案。
3. 注意不要混淆Task Role和Task Execution Role：前者是给业务容器内的代码访问AWS服务使用，后者是给ECS底层服务拉取镜像、注入密钥使用，两种角色的使用场景不要搞混。

内容的提问来源于stack exchange，提问作者Kuku