从AWS Secrets Manager加载Mistral API密钥致ASP.NET Core 401错误

问题描述 #

尝试将Mistral AI的API密钥从AWS Secrets Manager安全加载到运行在Elastic Beanstalk上的ASP.NET Core后端。当密钥以明文形式存储在Elastic Beanstalk环境变量中时，API请求正常；但从Secrets Manager加载相同密钥时，所有请求均返回401 Unauthorized错误：

AI API call failed 401: {"detail":"Unauthorized"}

已尝试的解决方法 #

• 使用Elastic Beanstalk环境变量引用Secrets Manager，收到Secrets reference not resolved错误
• 在Program.cs启动时通过AmazonSecretsManagerClient以代码方式检索密钥
• 添加调试端点预览密钥，确认已成功加载
• 新增后移除密钥清理解析器，无明显变化
• 验证IAM权限，包含secretsmanager:GetSecretValue和DescribeSecret权限
• 确认AWS区域配置一致

核心疑问 #

1. Secrets Manager是否会添加额外格式（如引号、空格、编码差异）导致密钥在Authorization头中失效？
2. 如何确保检索到的密钥值与环境变量中正常工作的明文值完全一致？

相关Program.cs代码片段 #

using Amazon;
using Amazon.SecretsManager;
using Amazon.SecretsManager.Model;

var builder = WebApplication.CreateBuilder(args);
var secretName = "name/ai/mistral/apikey";
var awsRegion = Environment.GetEnvironmentVariable("AWS_REGION") ?? "us-east-1";

using var sm = new AmazonSecretsManagerClient(RegionEndpoint.GetBySystemName(awsRegion));
var resp = sm.GetSecretValueAsync(new GetSecretValueRequest { SecretId = secretName })
             .GetAwaiter().GetResult();

var apiKey = resp.SecretString;
builder.Configuration.AddInMemoryCollection(new Dictionary<string, string?>
{
    ["AI:ApiKey"] = apiKey
});

解决方案 #

针对疑问1：Secrets Manager的格式问题 #

是的，Secrets Manager存储的SecretString可能包含额外格式导致密钥失效：

• 如果存储时是以JSON结构保存（比如{"ApiKey":"your-key-here"}），直接读取resp.SecretString会得到完整的JSON字符串，而非纯密钥值
• 存储时可能意外添加了引号、换行符或首尾空格，这些隐形字符会破坏Authorization头的有效性

针对疑问2：确保密钥值完全一致的步骤 #

1. 检查SecretString的实际内容
   在调试端点中输出apiKey的完整长度和原始字符串（包括首尾字符），对比环境变量中密钥的长度和内容。可添加以下代码辅助验证：

   app.MapGet("/debug-api-key", () => new 
   {
       RawKey = apiKey,
       Length = apiKey.Length,
       First10Chars = apiKey.Substring(0, Math.Min(10, apiKey.Length)),
       Last10Chars = apiKey.Substring(Math.Max(0, apiKey.Length - 10))
   });
   

   若发现是JSON结构，需解析提取纯密钥：

   // 假设SecretString格式为{"ApiKey":"your-mistral-key"}
   var secretJson = JsonSerializer.Deserialize<Dictionary<string, string>>(resp.SecretString);
   var apiKey = secretJson["ApiKey"];
   

2. 清理密钥中的无效字符
   对读取到的密钥执行首尾清理，移除可能存在的引号、空格或换行符：

   var apiKey = resp.SecretString.Trim().Trim('"', '\'', '\n', '\r');
   

3. 验证Authorization头的构建
   确认代码中构建Authorization头时没有额外拼接字符，正确格式应为：

   // 正确示例
   client.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue("Bearer", apiKey);
   

   避免出现Bearer "api-key"（带引号）或多余空格的错误格式。

4. 修复Elastic Beanstalk的Secrets Manager集成
   若之前使用环境变量引用失败，确保：

   • Elastic Beanstalk实例的IAM角色拥有secretsmanager:GetSecretValue权限
   • 环境变量的引用格式正确：{{resolve:secretsmanager:name/ai/mistral/apikey:SecretString}}
   • 若SecretString是JSON结构，需指定键：{{resolve:secretsmanager:name/ai/mistral/apikey:SecretString:ApiKey}}

内容的提问来源于stack exchange，提问作者aguerra