AWS SecretsManager如何通过标签键值对精准筛选？boto3/CLI通用

AWS Secrets Manager 原生的 list_secrets 接口的过滤器目前不支持直接绑定标签键和标签值做精确匹配，tag-key 和 tag-value 过滤条件独立生效，只会分别校验资源是否存在对应标签键、是否存在任意标签值符合规则，不会校验二者属于同一个标签对，这是接口的固有设计。

除了自行循环校验外，你可以直接使用 JMESPath 过滤返回结果，无需手动遍历，boto3 和 AWS CLI 都原生支持该能力：

boto3 使用示例 #

你可以借助 boto3 依赖自带的 jmespath 库实现精确过滤，同时可以保留tag-key预过滤减少返回的结果体量：

import boto3
import jmespath

sm = boto3.client('secretsmanager')
resp = sm.list_secrets(
    # 预过滤：仅返回包含对应标签键的密钥，减少返回数据量
    Filters=[{'Key': 'tag-key', 'Values': ['project']}]
)

# 精确匹配 project=foo 的密钥
matched = jmespath.search(
    "SecretList[?Tags[?Key == 'project' && Value == 'foo']]",
    resp
)

如果需要匹配单个标签键的多个值，比如Name为Production或Staging：

matched = jmespath.search(
    "SecretList[?Tags[?Key == 'Name' && Value in ['Production', 'Staging']]]",
    resp
)

AWS CLI 使用示例 #

直接通过内置的 --query 参数即可实现过滤，无需额外处理输出：

# 筛选 project=max 的密钥，输出标签信息
aws secretsmanager list-secrets \
  --filters Key=tag-key,Values=project \
  --query "SecretList[?Tags[?Key=='project' && Value=='max']].Tags" \
  --output text

多值匹配的场景：

# 筛选 Name 为 Production 或 Staging 的密钥
aws secretsmanager list-secrets \
  --filters Key=tag-key,Values=Name \
  --query "SecretList[?Tags[?Key=='Name' && (Value=='Production' || Value=='Staging')]]"

该方案逻辑简单，过滤性能足够应对常规场景的密钥量级，不需要额外开发遍历逻辑即可拿到符合要求的结果。

内容的提问来源于stack exchange，提问作者Max Allan