通过Docker Compose部署ECS时环境变量与Secret配置问题问询

关于environment字段的安全性 #

直接在environment字段中明文配置数据库密码、AWS凭证这类敏感信息完全不安全：配置内容会明文展示在ECS任务定义、CloudFormation堆栈配置、以及所有拥有任务配置查看权限的接口中，任何能访问你AWS账号配置的身份都能直接读取到敏感值，绝对不建议用这种方式传递敏感数据。

Secrets配置不生效的原因 #

Docker Compose对接ECS的原生secrets机制，默认不会把secret内容注入为容器环境变量，而是会将其作为文件挂载到业务容器的/run/secrets/<secret名称>路径下。你看到的Simplehttp_Secrets_InitContainer是ECS的默认逻辑：该init容器负责提前拉取SSM参数存储的内容，写入共享卷后挂载给你的业务容器，运行逻辑本身没有问题。
你可以直接进入运行中的容器，读取/run/secrets/message文件的内容获取你存储的敏感值。

要将Secret注入为环境变量的实现方案 #

如果你的应用必须从环境变量读取敏感值，可以用以下两种方式实现：

• 方案1：修改应用启动脚本，在启动时主动读取/run/secrets/message的内容，赋值给对应环境变量后再启动主进程
• 方案2：使用ECS兼容的x-aws-secrets扩展字段直接指定注入环境变量，配置示例如下：

version: "3.8"

services:
  simple-http:
    image: "${IMAGE}"
    x-aws-secrets:
      # 键就是你要注入的环境变量名称，值为SSM参数的ARN
      message: "arn:aws:ssm:<AWS_REGION>:<AWS_ACCOUNT_ID>:parameter/test-env"

用上述配置后，ECS会直接将对应SSM参数的内容作为message环境变量注入到业务容器中，不需要额外配置顶层secrets字段，也不会生成额外的init容器。

内容的提问来源于stack exchange，提问作者André Krosby