AWS CDK中如何遍历SecretsManager Secret密钥并过滤指定前缀项

错误根本原因 #

secrets.secret_value.to_json() 返回的是CDK的未解析Token，这是仅在CloudFormation部署阶段才会被替换为实际密钥值的占位符，在本地执行CDK合成代码的阶段，这个值本质是字符串类型的占位标记，自然没有items()方法可以调用，你也不可能在CDK代码层面直接遍历Secret里的键值对。

可行解决方案 #

方案1：预先明确密钥键名时使用（推荐）

如果你提前知道所有需要传入容器的非CDK_前缀的键名，直接通过ecs.Secret.from_secrets_manager单独取值，传入容器的secrets字段（不要用明文的environment字段存储敏感值），示例代码如下：

from aws_cdk import aws_ecs, aws_secretsmanager

secrets = aws_secretsmanager.Secret.from_secret_complete_arn(self, "Env",
    secret_complete_arn = "你的Secret ARN"
)

task_definition = aws_ecs.FargateTaskDefinition(self, "MyTaskDef")
task_definition.add_container("MyContainer",
    image = aws_ecs.ContainerImage.from_registry("你的镜像地址"),
    # 传入需要的密钥，不会泄露明文
    secrets = {
        "DB_USER": aws_ecs.Secret.from_secrets_manager(secrets, field="DB_USER"),
        "DB_PASS": aws_ecs.Secret.from_secrets_manager(secrets, field="DB_PASS"),
        # 其他非CDK_前缀的键依次添加即可
    }
)

方案2：不预先明确密钥键名时使用

如果你不想硬编码密钥键名，可以把整个Secret的JSON值传入一个临时环境变量，在容器启动脚本中完成过滤逻辑：

1. 先在CDK中传入整个Secret的JSON值：

task_definition.add_container("MyContainer",
    image = 你的镜像实例,
    secrets = {
        "ALL_SECRETS": aws_ecs.Secret.from_secrets_manager(secrets)
    },
    # 启动命令替换为过滤脚本，以预装jq的镜像为例
    entry_point = ["sh", "-c"],
    command = [
        'for key in $(echo $ALL_SECRETS | jq -r "keys[] | select(startswith(\"CDK_\") | not)"); do export $key="$(echo $ALL_SECRETS | jq -r \'.$key\')"; done && 你的原容器启动命令'
    ]
)

2. 确保你的镜像中预装了jq工具即可，该方案会在容器启动时动态过滤掉CDK_开头的密钥并导出为环境变量，不需要在CDK层面操作键值对。

内容的提问来源于stack exchange，提问作者zessx