如何在CloudFormation模板/蓝图中传入外部密钥而无需硬编码？

对于你方自行持有、并非由CloudFormation模板生成返回的外部敏感密钥，绝对不能直接写入CFN模板/蓝图的代码仓库、参数默认值、资源属性中，以下是实际生产环境中常用的可落地方案，完全不需要在模板内部硬编码密钥值：

具体可落地的实现方式 #

• 动态参数注入（最基础的实现方式）
  在模板中定义敏感值对应的参数时，将参数标记为NoEcho: true，部署时通过控制台手动输入、CLI命令透传、CI/CD加密变量传入的方式提供真实密钥值，模板文件本身完全不包含敏感值。
  这类参数定义时不能设置默认值，否则等于变相把密钥硬编码进模板。示例参数定义：

  Parameters:
    ExternalApiSecret:
      Type: String
      NoEcho: true
      Description: 第三方服务持有的API密钥，部署时手动传入
  

  开启NoEcho后，CFN控制台的栈详情页会对这类参数做掩码处理，不会明文展示密钥内容。

• 密钥服务动态引用（推荐的高安全方案）
  模板/蓝图中不存放真实密钥，仅存放你方密钥存储的资源路径/ARN，由CloudFormation在资源创建阶段自动从托管密钥服务拉取真实值，全程密钥不需要出现在模板、部署命令、CI/CD日志中。
  目前原生支持的引用源包括Systems Manager Parameter Store的SecureString类型参数、Secrets Manager的密钥资源，只需要在资源属性里按动态引用语法填写路径即可，示例：

  Resources:
    AppService:
      Type: AWS::ECS::Service
      Properties:
        ContainerDefinitions:
          - Name: my-app
            Environment:
              - Name: EXTERNAL_DB_PASSWORD
                Value: !Sub "{{resolve:secretsmanager:${ExternalDBSecretArn}:SecretString:db_password}}"
  

  这种方案哪怕模板文件被意外泄露，攻击者也无法拿到真实密钥，因为模板里只存了密钥服务的资源标识，还可以配合IAM权限控制谁有权限读取对应密钥。

• CFN蓝图层的宏注入（适合团队复用蓝图场景）
  如果是在统一维护的CFN蓝图（用于批量生成标准化部署模板的可复用组件）中传入外部密钥，可以为蓝图配置关联的CloudFormation宏，宏在模板渲染阶段自动从统一的团队密钥存储拉取对应密钥值，替换蓝图中预留的占位符，完全不需要把密钥写进蓝图的公共代码库。不同团队复用同一套蓝图时，只需要给宏配置各自对应的密钥路径，不需要修改蓝图本身的代码。

• CI/CD流水线透传（适合自动化部署场景）
  把外部密钥存在CI/CD平台的加密变量库中，执行CFN部署命令时通过参数透传的方式传入，流水线会对这类敏感变量做日志掩码，不会把密钥打印在构建日志里，CFN这边也不会把密钥持久化存到代码仓库的模板文件中。示例CLI部署命令：

  aws cloudformation deploy \
    --template-file standard-app-template.yaml \
    --stack-name team-a-app-stack \
    --parameter-overrides ExternalServiceKey=$CI_ENCRYPTED_EXTERNAL_KEY \
    --capabilities CAPABILITY_NAMED_IAM
  

避坑提醒：无论选择哪种方案，都不要给敏感参数设置固定默认值、不要把真实密钥替换进动态引用路径、不要关闭CFN的参数掩码展示，避免密钥意外泄露。

内容的提问来源于stack exchange，提问作者Prashanth Kanuka