clevy/awssecrets

Docker AWS Secrets

这是https://aws.amazon.com/secrets-manager/?nc1=h_ls%E7%9A%84%E8%BD%BB%E9%87%8F%E7%BA%A7Docker%E5%8C%85%E8%A3%85%E9%95%9C%E5%83%8F%EF%BC%8C%E5%8F%AF%E5%B0%86%E8%AF%B7%E6%B1%82%E7%9A%84secrets%E8%BE%93%E5%87%BA%E5%88%B0%E6%8E%A7%E5%88%B6%E5%8F%B0%EF%BC%8C%E9%80%82%E7%94%A8%E4%BA%8E%E5%9C%A8CI%E9%98%B6%E6%AE%B5%E5%8A%A0%E8%BD%BDsecrets%E5%88%B0%E7%8E%AF%E5%A2%83%E5%8F%98%E9%87%8F%E6%88%96%E9%85%8D%E7%BD%AE%E6%96%87%E4%BB%B6%E4%B8%AD%E3%80%82

该镜像会从环境中获取权限，需具备secretsmanager:GetSecretValue权限的资源角色或用户凭证。

• 源码地址：https://github.com/Clevyio/docker-awssecrets
• 相关博客：[***]

核心功能

1. 从AWS Secrets Manager获取指定的secrets并输出到控制台
2. 支持通过环境变量传递AWS凭证或使用资源角色获取权限
3. 便于在CI/CD环境中集中管理secrets，实现自动轮换

使用场景

• Gitlab CI等CI/CD平台中加载私密令牌（如npm、Docker Hub令牌）
• 多项目统一管理secrets，避免密钥泄露或未及时轮换的风险
• 简化CI流程中secrets的加载步骤，减少人工维护成本

配置说明

必要参数

• --region：secrets所在的AWS区域（默认：eu-west-1）
• --secret：secrets的名称或ARN（无默认值，必填）

可选参数

• --AWS_ACCESS_KEY_ID：AWS访问密钥ID（默认从环境变量获取）
• --AWS_SECRET_ACCESS_KEY：AWS秘密访问密钥（默认从环境变量获取）

权限要求

需确保镜像运行环境具备secretsmanager:GetSecretValue权限，可通过附加AWS资源角色或设置环境变量AWS_ACCESS_KEY_ID和AWS_SECRET_ACCESS_KEY实现。

部署示例

Gitlab CI示例

yaml
stages:
  - secrets
  - deploy

secrets:
  stage: secrets
  image: docker.xuanyuan.run/clevy/awssecrets
  script:
    - awssecrets --region cn-north-1 --secret my-npm-secrets > .ci-secrets
  artifacts:
    expire_in: 30 min
    paths:
      - .ci-secrets

release:
  stage: deploy
  image: docker.xuanyuan.run/node
  before_script:
    - export $(cat .ci-secrets | xargs)
    - echo "//registry.npmjs.org/:_authToken=${NPM_TOKEN}" >> ~/.npmrc
  script:
    - npm install -q
    - npm publish

Docker Run示例

bash
docker run \
  -e AWS_ACCESS_KEY_ID=your-access-key \
  -e AWS_SECRET_ACCESS_KEY=your-secret-key \
  clevy/awssecrets --region cn-north-1 --secret my-app-secrets