clevy/awssecrets

Docker AWS Secrets

这是AWS Secrets Manager的轻量级Docker包装镜像，可将请求的secrets输出到控制台，适用于在CI阶段加载secrets到环境变量或配置文件中。

该镜像会从环境中获取权限，需具备secretsmanager:GetSecretValue权限的资源角色或用户凭证。

• 源码地址：https://github.com/Clevyio/docker-awssecrets
• 相关博客：[***]

核心功能

1. 从AWS Secrets Manager获取指定的secrets并输出到控制台
2. 支持通过环境变量传递AWS凭证或使用资源角色获取权限
3. 便于在CI/CD环境中集中管理secrets，实现自动轮换

使用场景

• Gitlab CI等CI/CD平台中加载私密令牌（如npm、Docker Hub令牌）
• 多项目统一管理secrets，避免密钥泄露或未及时轮换的风险
• 简化CI流程中secrets的加载步骤，减少人工维护成本

配置说明

必要参数

• --region：secrets所在的AWS区域（默认：eu-west-1）
• --secret：secrets的名称或ARN（无默认值，必填）

可选参数

• --AWS_ACCESS_KEY_ID：AWS访问密钥ID（默认从环境变量获取）
• --AWS_SECRET_ACCESS_KEY：AWS秘密访问密钥（默认从环境变量获取）

权限要求

需确保镜像运行环境具备secretsmanager:GetSecretValue权限，可通过附加AWS资源角色或设置环境变量AWS_ACCESS_KEY_ID和AWS_SECRET_ACCESS_KEY实现。

部署示例

Gitlab CI示例

yaml
stages:
  - secrets
  - deploy

secrets:
  stage: secrets
  image: clevy/awssecrets
  script:
    - awssecrets --region cn-north-1 --secret my-npm-secrets > .ci-secrets
  artifacts:
    expire_in: 30 min
    paths:
      - .ci-secrets

release:
  stage: deploy
  image: node
  before_script:
    - export $(cat .ci-secrets | xargs)
    - echo "//registry.npmjs.org/:_authToken=${NPM_TOKEN}" >> ~/.npmrc
  script:
    - npm install -q
    - npm publish

Docker Run示例

bash
docker run \
  -e AWS_ACCESS_KEY_ID=your-access-key \
  -e AWS_SECRET_ACCESS_KEY=your-secret-key \
  clevy/awssecrets --region cn-north-1 --secret my-app-secrets