我應該如何將敏感環境變量傳遞給Amazon ECS任務？

Question

什麼是推薦的方式來傳遞敏感的環境變量，例如密碼，到Amazon ECS任務？使用Docker Compose，我可以使用key-only environment variables，這會導致從OS環境讀取值。但是我看不到ECS task definitions的任何相應方法。

Answer 1

在您發佈的任務定義鏈接中有一個「環境」部分，可讓您執行此操作。它們成爲容器內的環境變量。

如果您的意思是您希望將信息保留在任務定義之外並且該任務可以引用它，那麼您不能。在這種情況下，最好的辦法是讓你的容器從外部源獲取這些信息，而不要讓ECS任務配置嘗試引用它。

Answer 2

從S3拉環境變量的實現，Marc Young提到：

https://www.promptworks.com/blog/handling-environment-secrets-in-docker-on-the-aws-container-service

Answer 3

您可以使用Parameter Store存儲變量。它也支持加密，如果你將它們存儲爲SecureString。

您可以在任務定義中將它們作爲環境變量引用。

你需要找回他們在容器啓動腳本

value_from_parameter_store =`aws ssm get-parameters --names parameter_store_key --with-decryption --region $REGION --output text 2>& 1| awk '{print $4}'` 

你也可以提parameter_store_key的環境變量。以便您可以使用$parameter_store_key

Answer 4

如果您使用環境變量，則可以在登錄AWS控制檯時看到它們。 AWS已經編寫了關於使用適當「祕密」來隱藏敏感數據的指南。 容器在啓動時將這些加載到基於內存的環境變量中。 下面是一個指南：https://aws.amazon.com/blogs/security/how-to-manage-secrets-for-amazon-ec2-container-service-based-applications-by-using-amazon-s3-and-docker/