20

我正在使用 AWS Fargate 并使用 Secrets Manager 存储敏感数据。任务定义应该从秘密存储中获取环境变量

- name: "app"
  image: "ecr-image:tag"
  essential: true
  secrets:
    - name: "VAR1"
      valueFrom: "arn:aws:secretsmanager:us-east-1:111222333444:secret:var-one-secret"
    - name: "VAR2"
      valueFrom: "arn:aws:secretsmanager:us-east-1:111222333444:secret:var-two-secret"
    - name: "VAR3"
      valueFrom: "arn:aws:secretsmanager:us-east-1:111222333444:secret:var-two-private"

但由于某种原因，它失败并出现以下错误

ResourceNotFoundException: Secrets Manager can’t find the specified secret. status code: 400, request id

这对我来说似乎有点奇怪，因为

  • 此外，IAM 有权获取秘密值

  • 当只留下VAR1变量时，一切都按预期工作

  • AWS CLI 能够毫无问题地检索每个密钥

例如

aws secretsmanager get-secret-value --secret-id var-two-secret

我的配置可能有什么问题？任何提示表示赞赏

4

3 回答 3

16

好的，所以诀窍是明确指定 ARN。您应该使用完整标识符，而不仅仅是提供秘密名称

arn:aws:secretsmanager:us-east-1:111222333444:secret:var-two-secret-ID0o2R

注意-ID0o2R秘密名称末尾的后缀。

我仍然不清楚为什么对于某些变量它在没有它的情况下工作。

UPD

但是，如果您的密钥的名称以连字符结尾，后跟六个字符（在 Secrets Manager 将连字符和六个字符添加到 ARN 之前）并且您尝试将其用作部分 ARN，那么这些字符会导致 Secrets Manager 假定您正在指定一个完整的 ARN。这种混淆可能会导致意想不到的结果。

因此，您可以从包含连字符的变量名中看到，Secrets Manager 在通过短名称解析它时遇到了困难

于 2019-09-06T13:37:04.777 回答
14

如果您未在 ARN 末尾指定 GUID，Secrets Manager 会尝试进行部分 ARN 匹配。但是，它并不完美，因为部分 ARN 可能会发生冲突。如果您在同一帐户中获取机密，则可以只使用机密名称（机密后的部分：并且不包括破折号 6 字符 -GUID）而不是完整的 ARN。但是，当您拥有完整的 ARN 时，使用它始终是最好的。

于 2019-09-06T16:59:50.670 回答
1

此错误的另一个潜在原因是未设置密钥。秘密名称可能存在，但没有值。有关设置值的步骤，请参阅https://docs.aws.amazon.com/secretsmanager/latest/userguide/manage_update-secret.html。

于 2021-09-16T21:51:22.210 回答