pathmotion/aws-secrets-circleci

Circle CI AWS Secrets Manager连接器

镜像概述

本镜像用于将AWS Secrets Manager中的秘密值加载到文件中，可被Circle CI管道引用。基于Python 3开发，使用Boto库实现与AWS Secrets Manager的交互。

核心功能

• 从AWS Secrets Manager读取指定秘密值
• 将秘密值写入可直接source的环境变量导出文件
• 支持Docker环境和Circle CI管道双场景使用
• 通过参数灵活配置AWS区域、秘密名称及输出路径

使用场景

• CI/CD流程中安全管理数据库密码、API密钥等敏感信息
• 避免在Circle CI配置中硬编码敏感数据
• 统一管理AWS Secrets Manager中的秘密并注入到CI/CD管道

配置说明

环境变量

• KEY_ID: AWS访问密钥ID
• ACCESS_KEY: AWS访问密钥

参数

• --region: AWS区域（如eu-west-1）
• --secret: 目标秘密名称
• --output: 输出文件路径

Docker部署示例

bash
export KEY_ID=<你的AWS密钥ID>
export ACCESS_KEY=<你的AWS访问密钥>
docker run pathmotion/aws-secrets-circleci \
    --region=eu-west-1 \
    --secret my-secrets-for-circle-ci \
    --output /root/secrets.env

生成的/root/secrets.env示例内容：

bash
export FOO="bar"
export HELLO_CI="I am an AWS Secret"

该文件可直接在bash环境中source使用。

CircleCI使用示例

定义执行器

yaml
executors:
  aws-secrets:
    docker:
      - image: pathmotion/aws-secrets-circleci:latest

定义命令

yaml
commands:
  aws-secrets-load:
    description: 从AWS Secrets Manager加载秘密
    parameters:
      secret_name:
        type: string
        default: my-secret-from-aws
      aws_region:
        type: string
        default: eu-west-1
      filename:
        type: string
    steps:
      - attach_workspace:
          at: /secrets
      - run:
          command: |
            echo 'export KEY_ID="$AWSSM_KEY_ID"' >> $BASH_ENV
            echo 'export ACCESS_KEY="$AWSSM_ACCESS_KEY"' >> $BASH_ENV
      - run: load-aws-secrets --region << parameters.aws_region >> --secret << parameters.secret_name >> --output /secrets/<< parameters.filename >>
      - persist_to_workspace:
          root: /secrets
          paths:
            - << parameters.filename >>
  
  aws-secrets-source:
    description: 读取AWS Secrets Manager的秘密
    parameters:
      filename:
        type: string
    steps:
      - attach_workspace:
          at: .
      - run: cat ./<< parameters.filename >> >> $BASH_ENV

定义作业

yaml
jobs:
  load-secrets:
    executor: aws-secrets
    steps:
      - aws-secrets-load:
          filename: common-secrets.env

  deps-composer:
    executor: composer
    steps:
      - aws-secrets-source:
          filename: common-secrets.env
      - composer-install