如何使用CDK将Secrets Manager全量密钥动态注入ECS任务

你可以通过三种常见方案实现无需手动逐个配置密钥键：

方案1：基于预定义键列表批量生成（最推荐，稳定性最高） #

你只需要维护一份密钥键的数组配置，通过数组的reduce方法动态生成secrets配置对象，不需要逐个写键值对：

// 提前维护所有需要注入的密钥键列表，新增键只需在这里加元素即可
const SECRET_KEYS = ['FOO', 'BAR', 'BAZ', 'OTHER_KEY1', 'OTHER_KEY2']

const taskDefinition = new ecs.FargateTaskDefinition(this, 'MyTaskDef', {
  // 其他任务定义配置
  secrets: SECRET_KEYS.reduce((secretsMap, key) => {
    secretsMap[key] = ecs.Secret.fromSecretsManager(mySecret, key)
    return secretsMap
  }, {})
})

该方案完全符合CDK的声明式规范，不会引入额外依赖，也不需要额外权限，密钥值不会泄露到CloudFormation模板中。

方案2：CDK部署时自动拉取密钥结构完全动态生成 #

如果你连键列表都不想维护，可以在CDK代码中调用Secrets Manager的API拉取密钥的JSON结构，自动提取所有键生成配置：

const { SecretsManagerClient, GetSecretValueCommand } = require("@aws-sdk/client-secrets-manager")

// 部署阶段拉取密钥内容解析键列表
const getSecretKeys = async () => {
  const client = new SecretsManagerClient({ region: process.env.CDK_DEFAULT_REGION })
  const res = await client.send(new GetSecretValueCommand({ SecretId: mySecret.secretArn }))
  const secretJson = JSON.parse(res.SecretString)
  return Object.keys(secretJson)
}

// 注意要在CDK异步上下文里执行这段逻辑，比如stack的构造函数前加async，或者用cdk的Aspect
const SECRET_KEYS = await getSecretKeys()

// 后续生成secrets的逻辑和方案1完全一致
const taskDefinition = new ecs.FargateTaskDefinition(this, 'MyTaskDef', {
  secrets: SECRET_KEYS.reduce((secretsMap, key) => {
    secretsMap[key] = ecs.Secret.fromSecretsManager(mySecret, key)
    return secretsMap
  }, {})
})

注意事项：

• 运行cdk deploy的环境（本地/CI）需要拥有该Secrets Manager密钥的读取权限
• 密钥新增键后需要重新执行cdk deploy才能同步到任务定义中

方案3：容器启动时动态解析（零CDK修改成本） #

你不需要在CDK层拆分密钥键，直接把整个JSON密钥作为单个环境变量注入，在容器启动脚本里自动解析成进程的环境变量：

1. CDK任务定义配置：

const taskDefinition = new ecs.FargateTaskDefinition(this, 'MyTaskDef', {
  // 其他配置
  secrets: {
    SECRETS_JSON: ecs.Secret.fromSecretsManager(mySecret)
  }
})

2. 容器镜像的启动脚本（假设镜像内置jq工具）：

#!/bin/sh
# 解析SECRETS_JSON里的所有键值对为当前shell的环境变量
eval $(echo "$SECRETS_JSON" | jq -r 'to_entries|map("export \(.key)=\(.value|tostring|@sh)")|.[]')

# 启动你的业务进程
node your-app.js

该方案的优势是完全不需要修改CDK代码，Secrets Manager中新增/删除/修改键值后，只需要重启ECS任务即可生效，不需要重新部署任务定义。

内容的提问来源于stack exchange，提问作者calvinyoung