AWS Workload Credentials Provider 快速开始用 curl 一行命令获取你的第一个密钥【免费下载链接】aws-workload-credentials-providerThe AWS Workload Credentials Provider (formerly the AWS Secrets Manager Agent) is a client-side solution that helps you standardize how you consume credentials from AWS services across your compute environments.项目地址: https://gitcode.com/gh_mirrors/aw/aws-workload-credentials-providerAWS Workload Credentials Provider前身是 AWS Secrets Manager Agent是一个客户端侧的凭据获取解决方案帮你标准化从 AWS 服务消费密钥的方式。本文是一份快速开始指南带你从零构建、安装并在 5 分钟内用curl 一行命令从localhost:2773本地端点拿到你的第一个 AWS 密钥——全程无需写任何业务代码。什么是 AWS Workload Credentials Provider简单说它是在你的计算环境AWS Lambda、ECS、EKS、EC2 甚至本地服务器里运行的一个本地 HTTP 服务。你的应用不再直接调用 AWS Secrets Manager 接口而是像请求普通 Web API 一样访问本机端点由它在后台负责读取并缓存密钥密钥缓存在内存中默认每 300 秒TTL刷新一次避免高频直连 AWS返回标准格式返回内容和GetSecretValue的响应保持一致提供 SSRF 防护每个请求都要求携带令牌防止恶意跳板攻击附带证书管理可选地把 AWS Certificate ManagerACM证书自动导出到本地文件系统。对新手来说最大的好处是应用代码不用集成任何 AWS SDK一条 curl 命令就能读密钥。快速开始前的准备环境与前置条件在动手前请确认你的环境满足以下条件都满足的话 5 分钟即可完成项目要求操作系统Linux / macOS / Windows本文以 Linux 为例工具链Rust 工具链 cargoAWS 账号具备secretsmanager:DescribeSecret和secretsmanager:GetSecretValue权限运行环境已配置 AWS 凭证环境变量、实例角色等均可 官方推荐使用稳定的 git tag形如v3.1.1从源码构建避免使用最新主干带来的不确定性。第一步获取源码并构建二进制首先克隆仓库到本地git clone --branch v3.1.1 https://gitcode.com/gh_mirrors/aw/aws-workload-credentials-provider cd aws-workload-credentials-provider然后构建 release 版本cargo build --release构建完成后可执行文件位于target/release/aws-workload-credentials-provider。CLI 的子命令定义在 aws_workload_credentials_provider/src/cli.rs支持sm start启动 Secrets Manager 服务、acm start启动证书管理等操作。第二步安装并启动本地服务进入配置目录用官方脚本一键安装并启动服务cd aws_workload_credentials_provider_common/configuration sudo ./install安装脚本install会自动完成三件事把 Provider 注册为系统服务并启动生成随机的SSRF 令牌写入/var/run/awssmatoken创建aws-wcp-token用户组供你的应用读取令牌。如果你的应用以其他用户身份运行记得把它加入令牌组sudo usermod -aG aws-wcp-token APP_USER当然你也可以手动启动例如在容器里作为 sidecar 运行时./aws-workload-credentials-provider sm start --config /path/to/config.toml启动后Provider 会在localhost:2773端口监听 HTTP 请求。第三步用 curl 一行命令获取你的第一个密钥 这是本文的核心。打开终端执行下面这行命令把YOUR_SECRET_ID换成你的密钥名或 ARNcurl -H X-Aws-Parameters-Secrets-Token: $(/var/run/awssmatoken) \ http://localhost:2773/secretsmanager/get?secretIdYOUR_SECRET_ID命令拆解部分说明X-Aws-Parameters-Secrets-TokenSSRF 令牌请求头值从令牌文件读取http://localhost:2773Provider 默认本地端口/secretsmanager/get?secretId...获取密钥的标准端点如果一切正常你会收到一个 JSON 响应里面就是密钥的明文值——你的第一个密钥就这样拿到了获取指定版本的密钥默认返回AWSCURRENT版本。想获取其他版本加上versionId或versionStage参数即可curl -H X-Aws-Parameters-Secrets-Token: $(/var/run/awssmatoken) \ http://localhost:2773/secretsmanager/get?secretIdYOUR_SECRET_IDversionStageAWSPREVIOUS健康检查Provider 提供/ping健康检查端点返回healthycurl -H X-Aws-Parameters-Secrets-Token: $(/var/run/awssmatoken) \ http://localhost:2773/pingHTTP 请求的分发与校验逻辑实现在 aws_secretsmanager_provider/src/server.rs参数解析secretId、versionId、refreshNow、roleArn则位于 aws_secretsmanager_provider/src/parse.rs。进阶技巧强制刷新与跨账号获取用 refreshNow 强制刷新密钥Provider 默认使用内存缓存TTL 未过期时会直接返回缓存值这可能导致密钥轮换后读到旧值。想要立即绕过缓存、从 Secrets Manager 拉取最新值只需加上refreshNowtruecurl -H X-Aws-Parameters-Secrets-Token: $(/var/run/awssmatoken) \ http://localhost:2773/secretsmanager/get?secretIdYOUR_SECRET_IDrefreshNowtrue⚠️ 注意refreshNowtrue会绕过 TTL 直接发起 API 调用适合密钥轮换等对实时性要求高的场景日常读取建议使用默认缓存。用 roleArn 实现跨账号获取想用不同的 IAM 角色读取密钥比如跨账号访问加一个roleArn参数即可Provider 会先执行 STSAssumeRole再取密钥curl -H X-Aws-Parameters-Secrets-Token: $(/var/run/awssmatoken) \ http://localhost:2773/secretsmanager/get?secretIdYOUR_SECRET_IDroleArnarn:aws:iam::ACCOUNT_ID:role/ROLE_NAME每个角色会拥有独立的缓存客户端见 aws_secretsmanager_provider/src/cache_manager.rs同一密钥用不同角色获取会产生独立的缓存条目。常见问题与安全提示Q1请求返回 403大概率是 SSRF 令牌没配对。确认请求头X-Aws-Parameters-Secrets-Token的值与/var/run/awssmatoken文件内容一致。Q2返回 400 提示 missing parameter检查secretId参数是否正确拼写且密钥名或 ARN 真实存在。Q3密钥更新后读到的还是旧值默认 TTL 为 300 秒可以使用refreshNowtrue强制刷新。安全提示密钥一旦进入 Provider 缓存任何能访问本机且持有令牌的用户都能读取。务必通过文件权限限制令牌文件的访问范围不要把令牌写死在代码里。总结现在你已经完成了 AWS Workload Credentials Provider 的快速上手构建二进制、安装服务并成功用curl 一行命令从localhost拿到第一个密钥。接下来你可以尝试编写 Python 等其他语言的客户端调用端点格式完全一致在 Lambda、ECS、EKS 中把它作为扩展或 sidecar 部署通过 TOML 配置文件调整端口、TTL、缓存大小和 SSRF 头名称。把密钥访问收拢到本地 HTTP 端点你的应用从此不再需要关心 AWS SDK 细节——这就是 AWS Workload Credentials Provider 带来的简洁与统一。【免费下载链接】aws-workload-credentials-providerThe AWS Workload Credentials Provider (formerly the AWS Secrets Manager Agent) is a client-side solution that helps you standardize how you consume credentials from AWS services across your compute environments.项目地址: https://gitcode.com/gh_mirrors/aw/aws-workload-credentials-provider创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
