cmattoon/aws-ssm

AWS SSM to Kubernetes Secrets 镜像文档

镜像概述

该镜像用于将AWS Parameter Store（SSM）中的参数值自动填充到Kubernetes Secrets资源中。通过为Kubernetes Secret添加特定注解，实现从AWS SSM获取参数并填充到Secret的data字段，支持敏感信息的自动化管理和注入。

核心功能与特性

• SSM参数自动填充：通过注解配置，自动从AWS SSM获取指定参数值并填充到Kubernetes Secret
• 多参数类型支持：
  • SecureString：参数值Base64编码后直接填充到data.$ParamType字段
  • StringList：解析为key1=val1,key2=val2格式的键值对，除填充到data.StringList外，还会将每个键值对单独添加到data字段
• 注解驱动配置：通过Secret的元数据注解定义SSM参数名称、类型等配置信息

使用场景

适用于需要将AWS SSM中存储的敏感配置（如API密钥、数据库凭证）安全注入到Kubernetes集群的场景，避免手动创建和维护Secret，提升配置管理的自动化和安全性。

使用方法与配置说明

前置条件

• Kubernetes集群已部署该镜像的控制器组件
• 集群具备访问AWS SSM的权限（通过IAM角色或访问密钥配置）

配置步骤

1. 创建带注解的空Secret

创建一个空的Kubernetes Secret，并添加以下注解配置：

yaml
apiVersion: v1
kind: Secret
metadata:
  name: my-secret  # Secret名称
  annotations:
    "alpha.ssm.cmattoon.com/k8s-secret-name": my-secret  # 需与Secret名称一致
    "alpha.ssm.cmattoon.com/aws-param-name": my_value    # AWS SSM参数名称
    "alpha.ssm.cmattoon.com/aws-param-type": SecureString  # SSM参数类型（SecureString/StringList）
    "alpha.ssm.cmattoon.com/aws-param-key": "alias/aws/ssm"  # KMS密钥别名（仅SecureString类型需要）
data: {}  # 初始为空

2. 注解参数说明

填充结果示例

SecureString类型参数

配置后，Secret的data.SecureString字段将被填充为SSM参数值的Base64编码结果：

yaml
apiVersion: v1
kind: Secret
metadata:
  name: my-secret
  annotations:
    "alpha.ssm.cmattoon.com/k8s-secret-name": my-secret
    "alpha.ssm.cmattoon.com/aws-param-name": my_value
    "alpha.ssm.cmattoon.com/aws-param-type": SecureString
    "alpha.ssm.cmattoon.com/aws-param-key": "alias/aws/ssm"
data:
  SecureString: foobar  # Base64编码后的SSM参数值

StringList类型参数

若SSM参数类型为StringList（格式为key1=val1,key2=val2,key3=val3），则Secret的data字段将包含：

• StringList：完整列表的Base64编码值
• 每个解析出的键值对：key1、key2等字段，值为对应value的Base64编码

yaml
data:
  StringList: <b64encoded_everything>  # 完整列表的Base64编码
  key1: <b64encoded_val1>  # key1对应value的Base64编码
  key2: <b64encoded_val2>  # key2对应value的Base64编码
  key3: <b64encoded_val3>  # key3对应value的Base64编码