如何将秘密的更改自动传播到Fargate TaskDefinitions？

Question

Resources: {...}
    TaskDefinition: {...}
        Properties:
            ContainerDefinitions:
                -   Name: !Ref ServiceName
                    Image: {...}
                    Environment:
                        - 
                          Name: AWS_S3_SECRET_KEY
                          Value: 
                              Fn::Join:
                                    - ''
                                    -   - '{{resolve:secretsmanager:'
                                        -   Fn::ImportValue: !Ref S3CredentialsId
                                        - ':SecretString:aws_s3_secret}}'

到目前为止，我已经用“肮脏”的方法实现了这种传播--通过向TaskDefinition添加一些不存在的环境变量，并将此更改应用到集群（我已经上传了服务的更新的CloudFormation模板）。只有在此操作之后，才创建了TaskDefinition的新修订，其中包含更新的secrets值，正如Fargate提到的TaskDefinition描述中的差异。

因此，我的问题是：如何实现将秘密更改自动传播到TaskDefinition中？

Answer 1

这并不能直接回答您的问题，因为据我所知，不可能通过CloudFormation强制传播秘密更改。

也就是说，您不应该使用Secrets Manager来管理用于访问S3的AWS凭据。相反，应该将IAM角色用于任务（https://docs.aws.amazon.com/amazonecs/latest/userguide/task-iam-roles.html）。这将一个IAM角色附加到任务定义中，如果您需要在S3 bucket上承担具有权限的不同角色，则可以使用该角色调用S3或甚至STS PassureLole。

如果需要访问其他机密，请查看以下教程：https://docs.aws.amazon.com/amazonecs/latest/userguide/specification-sensition-data-tutorial.html。通过遵循它，您应该能够在CloudFormation容器定义中指定秘密。下面是一个使用秘密容器定义指定秘密的示例。我还没有时间测试它是否有效，但根据AWS文档，它应该有效。

Resources: {...}
    TaskDefinition: {...}
        Properties:
            ContainerDefinitions:
                -   Name: !Ref ServiceName
                    Image: {...}
                    Secrets:
                        -
                          Name: AWS_S3_SECRET_KEY
                          ValueFrom: arn:aws:secretsmanager:region:aws_account_id:secret:username_value-u9bH6K