AWS CDK Python版Fargate任务定义add_container的secrets参数如何传入？

secrets参数要求的Mapping[str, Secret]结构，其中Value部分不是任意原生Python数据类型，必须是CDK提供的类型化Secret对象实例。直接传入原生字典存储普通字符串、未做类型转换的AWS资源对象时，会因为不符合JSII跨语言层的对象引用校验规则，触发jsii.errors.JSIIError: Expected object reference报错。

这个参数的字典结构本身没有特殊的嵌套要求，只要满足两个约束即可：

• 字典的Key：是最终注入到容器内的环境变量名称，支持任意自定义字符串（例如"DB_PASSWORD"、"REDIS_URI"）
• 字典的Value：必须通过aws_ecs.Secret类提供的静态工厂方法生成实例，不能直接传入裸的AWS资源对象、字符串值。

日常使用中一般不需要手动实例化Secret对象，直接调用对应工厂方法即可：

• 对应AWS Secrets Manager存储的密钥：使用ecs.Secret.secrets_manager()生成
• 对应AWS Systems Manager Parameter Store存储的安全参数：使用ecs.Secret.ssm_parameter()生成

from aws_cdk import (
    Stack,
    aws_ecs as ecs,
    aws_secretsmanager as secretsmanager,
    aws_ssm as ssm
)
from constructs import Construct

class FargateWithSecretsStack(Stack):
    def __init__(self, scope: Construct, construct_id: str, **kwargs) -> None:
        super().__init__(scope, construct_id, **kwargs)

        # 引用已存在的Secrets Manager数据库凭证
        db_credential_secret = secretsmanager.Secret.from_secret_name_v2(
            self,
            "DBCredential",
            secret_name="prod/app/db-creds"
        )
        # 引用已存在的SSM安全参数存储的数据库地址
        db_host_param = ssm.StringParameter.from_secure_string_parameter_attributes(
            self,
            "DBHost",
            parameter_name="/prod/app/db-host"
        )

        # 定义Fargate任务定义时传入secrets参数
        ecs.FargateTaskDefinition(
            self,
            "BackendTask",
            cpu=256,
            memory_limit_mib=512,
            secrets={
                # 从同一个Secrets Manager密钥中拆分出用户名、密码字段注入
                "DB_USER": ecs.Secret.secrets_manager(db_credential_secret, field="username"),
                "DB_PASSWORD": ecs.Secret.secrets_manager(db_credential_secret, field="password"),
                # 从SSM参数中读取主机地址注入
                "DB_HOST": ecs.Secret.ssm_parameter(db_host_param)
            }
        )

• 不要把Secrets Manager/SSM的资源对象直接作为字典Value传入，必须经过Secret类的工厂方法做一层转换，明确指定需要读取的密钥字段、对应的权限策略，这也是多数人触发对象引用报错的核心原因。
• 使用上述工厂方法生成Secret时，CDK会自动为任务执行角色附加对应的权限策略（包括Secrets Manager的GetSecretValue权限、SSM的GetParameter权限），不需要手动编写IAM策略。
• 禁止将硬编码的敏感值作为字典Value传入，这类写法既无法通过类型校验，也不符合容器安全规范。

内容的提问来源于stack exchange，提问作者Joe