binxio/ssm-get-parameter

binxio/ssm-get-parameter 镜像文档

镜像概述

binxio/ssm-get-parameter 是一个轻量级命令行工具镜像，用于从AWS Systems Manager Parameter Store（SSM参数存储）安全、便捷地获取参数。该工具简化了与AWS SSM参数存储的交互，无需手动编写AWS SDK代码，即可直接获取标准参数、安全字符串参数及历史版本参数，适用于各类自动化场景和容器化环境。

核心功能和特性

• 参数获取：支持获取标准参数和标记为"安全字符串"的加密参数（需指定解密选项）
• 版本控制：可指定获取特定版本的参数，便于回滚或验证历史配置
• 凭证兼容：与AWS CLI凭证机制兼容，支持环境变量、IAM角色、AWS配置文件（~/.aws/credentials）等多种凭证方式
• 轻量级：基于精简基础镜像构建，镜像体积小，启动速度快
• 跨平台：可在任何支持Docker的环境中运行，无需依赖特定操作系统或库

使用场景

• CI/CD流程：在Jenkins、GitHub Actions等CI/CD管道中获取部署所需的环境变量或配置参数
• 容器启动：容器初始化时通过该工具获取参数并注入环境变量，避免硬编码敏感信息
• 自动化脚本：在Bash、Python等脚本中集成，动态获取AWS参数存储中的配置，简化脚本逻辑
• 本地开发：开发环境中快速获取测试参数，无需手动复制或管理AWS凭证

使用方法和配置说明

前提条件

• 已安装Docker引擎
• 具有访问AWS Parameter Store的权限（IAM策略需包含ssm:GetParameter权限）
• 已配置AWS凭证（通过环境变量、IAM角色或AWS配置文件）

Docker运行示例

基本用法（获取标准参数）

bash
docker run --rm \
  -e AWS_ACCESS_KEY_ID=<your-access-key> \
  -e AWS_SECRET_ACCESS_KEY=<your-secret-key> \
  -e AWS_REGION=us-east-1 \
  binxio/ssm-get-parameter \
  --name /my-app/database-url

获取安全字符串参数（需解密）

bash
docker run --rm \
  -e AWS_REGION=us-west-2 \
  binxio/ssm-get-parameter \
  --name /my-app/db-password \
  --with-decryption

获取特定版本的参数

bash
docker run --rm \
  -e AWS_PROFILE=my-profile \  # 使用本地AWS配置文件
  -v ~/.aws:/root/.aws:ro \    # 挂载本地AWS配置目录
  binxio/ssm-get-parameter \
  --name /my-app/api-key \
  --version 2

命令行参数

环境变量配置

该工具通过以下环境变量读取AWS配置，与AWS CLI兼容：

IAM角色支持（推荐）

在EC2实例、ECS任务或EKS Pod中运行时，可通过IAM角色自动获取凭证，无需指定AWS_ACCESS_KEY_ID和AWS_SECRET_ACCESS_KEY环境变量。只需为实例/任务附加包含ssm:GetParameter权限的IAM策略即可。

示例IAM策略（最小权限）：

json
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "ssm:GetParameter",
      "Resource": "arn:aws:ssm:<region>:<account-id>:parameter/my-app/*"
    }
  ]
}