如何将EC2 Parameter Store参数作为环境变量传入ECS任务？

嘿，你完全没遗漏关键信息——AWS其实早就提供了无需封装自定义镜像的原生能力，直接把Parameter Store里的参数（不管是普通字符串还是加密的SecureString）映射成ECS任务的环境变量！之前提到的自定义镜像方案是比较早期的 workaround，现在根本不需要这么折腾了。

下面是具体的实现步骤和细节：

1. 配置ECS任务执行角色的权限 #

首先要确保你的ECS任务执行角色（Task Execution Role）拥有访问Parameter Store参数的权限：

• 对于普通参数（String/StringList）：添加ssm:GetParameter（单参数）或ssm:GetParameters（多参数）的权限策略。
• 对于加密的SecureString参数：除了SSM的权限，还要添加对应的KMS密钥解密权限（kms:Decrypt），如果用的是AWS默认的KMS密钥，权限配置会更简单；如果是自定义KMS密钥，需要明确指定密钥ARN。

示例权限策略片段：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ssm:GetParameter",
        "kms:Decrypt"
      ],
      "Resource": [
        "arn:aws:ssm:us-east-1:123456789012:parameter/my/app/*",
        "arn:aws:kms:us-east-1:123456789012:key/your-kms-key-id"
      ]
    }
  ]
}

2. 在ECS任务定义中配置环境变量映射 #

在任务定义的容器配置里，不需要直接写环境变量的值，而是用valueFrom字段引用Parameter Store的参数ARN或名称：

示例：映射普通参数 #

"containerDefinitions": [
  {
    "name": "my-official-container",
    "image": "docker.io/official/image:latest",
    "environment": [
      {
        "name": "APP_DB_HOST",
        "valueFrom": "arn:aws:ssm:us-east-1:123456789012:parameter/app/db/host"
      },
      {
        "name": "APP_API_KEY",
        "valueFrom": "parameter/app/api/key" // 同一账号同区域可直接用参数路径
      }
    ]
  }
]

示例：映射加密的SecureString参数 #

配置方式和普通参数完全一致，只要任务执行角色有KMS解密权限，ECS会在任务启动时自动解密参数值并注入为环境变量：

{
  "name": "APP_DB_PASSWORD",
  "valueFrom": "arn:aws:ssm:us-east-1:123456789012:parameter/app/db/password"
}

3. 关键优势&注意事项 #

• 无需自定义镜像：直接使用Docker Hub官方镜像，完全避免镜像维护、存储的额外负担。
• 配置集中管理：所有参数都存在Parameter Store里，任务定义只负责映射，便于统一修改和权限管控。
• 参数更新后需重启任务：环境变量是在任务启动时注入的，所以如果Parameter Store里的参数更新了，需要重新部署ECS任务才能获取新值。

这样一来，你就可以直接用官方镜像，通过任务定义的配置完成参数到环境变量的映射，完全不用走自定义镜像的弯路啦！

内容的提问来源于stack exchange，提问作者Jonatan