快速上手 AWS Workload Credentials Provider10 分钟完成源码构建与安装【免费下载链接】aws-workload-credentials-providerThe AWS Workload Credentials Provider (formerly the AWS Secrets Manager Agent) is a client-side solution that helps you standardize how you consume credentials from AWS services across your compute environments.项目地址: https://gitcode.com/gh_mirrors/aw/aws-workload-credentials-providerAWS Workload Credentials Provider前身为 AWS Secrets Manager Agent是 AWS 官方开源的客户端凭据消费方案源码构建与安装全流程只需 10 分钟。它把 Secrets Manager 密钥、ACM 证书统一封装成本地 HTTP 接口和本地文件让应用在 Lambda、ECS、EKS、EC2 上都能用统一方式安全消费凭据无需改造代码。本文用最简步骤带你完成源码下载、Rust 构建、服务安装与首次密钥读取。它是什么本地凭据的“统一出口” 简单说AWS Workload Credentials Provider 在本机localhost起一个轻量服务替你完成两件事能力作用支持环境 Secrets Manager拉取并内存缓存密钥应用从localhost:2773读密钥Lambda、ECS、EKS、EC2默认开启 证书管理自动从 ACM 导出证书为 PEM 文件每 24 小时自动刷新EC2 与本地主机可选开启应用不再直连 AWS API而是访问本机端点密钥被缓存后读取更快同时内置 SSRF 令牌防护与后量子 ML-KEM 密钥交换安全性更强。构建前置条件一台 Linux 和一套 Rust 工具链 ✅操作系统AL2023、Ubuntu 等主流 LinuxWindows 构建方式详见文末工具链Rustrustup 安装 基础编译工具建议使用版本标签如v3.1.1构建保证体验稳定第一步克隆源码并完成 Rust 构建 打开终端克隆仓库并进入项目根目录git clone https://gitcode.com/gh_mirrors/aw/aws-workload-credentials-provider cd aws-workload-credentials-providerRPM 系系统如 AL2023先装开发工具sudo yum -y groupinstall Development ToolsDebian 系系统如 Ubuntu则执行sudo apt install build-essential安装 Rust 工具链curl --proto https --tlsv1.2 -sSf https://sh.rustup.rs | sh . $HOME/.cargo/env接着执行构建首次编译依赖较多请耐心等待cargo build --release构建成功后可执行文件位于target/release/aws-workload-credentials-provider。项目采用 Cargo workspace 管理 6 个 crate核心入口在 aws_workload_credentials_provider/src/cli.rs命令行子命令由 main.rs 分发到sm startSecrets Manager与acm start证书管理两条主流程。第二步一键安装服务与 SSRF 令牌 ⚙️进入仓库自带的安装脚本目录cd aws_workload_credentials_provider_common/configuration sudo ./install --config /path/to/config.toml安装脚本 install 会自动完成创建服务用户与组、安装 systemd 服务、生成随机 SSRF 令牌并存放在/var/run/awssmatoken。常用参数如下--config file可选引导配置文件--no-start只安装不启动服务--no-privileges/--no-sudoers跳过特权配置证书管理场景⚠️ 若你的应用需要读取令牌文件请把应用用户加入aws-wcp-token组sudo usermod -aG aws-wcp-token APP_USER第三步编写最简配置文件 创建config.toml仅需几行即可启动 Secrets Manager 能力[logging] log_level INFO [capabilities.secrets_manager] enabled true http_port 2773 region us-east-1 [capabilities.secrets_manager.cache] ttl_seconds 300 cache_size 1000关键参数速查http_port为本地监听端口默认 2773、ttl_seconds为缓存有效期默认 300 秒、cache_size为最大缓存密钥数默认 1000。验证服务是否就绪只需一条命令curl http://localhost:2773/ping返回healthy即表示服务正常运行。第四步3 秒读取第一个密钥 调用本地端点获取密钥记得带上 SSRF 令牌请求头curl -v -H \ X-Aws-Parameters-Secrets-Token: $(/var/run/awssmatoken) \ http://localhost:2773/secretsmanager/get?secretIdYOUR_SECRET_ID; \ echo把YOUR_SECRET_ID换成你的密钥名称或 ARN 即可。返回格式与 Secrets Manager 的GetSecretValue完全一致后续读取命中缓存、速度飞快。若想强制绕过缓存立即刷新可在 URL 追加refreshNowtrue。跨账号读取则追加roleArnarn:aws:iam::ACCOUNT_ID:role/ROLE_NAME实现 IAM 角色链role chaining。进阶玩法容器 Sidecar 与证书管理 容器 Sidecar项目根目录自带 Dockerfile可把二进制打进极简scratch镜像以network_mode: container:client-application方式与业务容器共享网络栈业务代码从localhost:2773读取密钥即可。证书管理在配置文件中加入[capabilities.acm]段并enabled true指定证书 ARN 与输出路径服务即自动导出证书并每 24 小时刷新还支持刷新后执行自定义命令如nginx -s reload热加载。常见问题速览 如何改配置生效修改config.toml后重启服务或执行sudo ./aws-workload-credentials-provider acm reload --config /path/to/config.toml热重载证书配置。缓存会过期吗内存缓存随服务重启清空按 TTL 自动刷新密钥轮换后若缓存未过期可能返回旧值可用refreshNowtrue强制刷新。安全注意什么密钥在缓存中不加密任何能访问主机且拿到 SSRF 令牌的用户都可读取请按最小权限原则管控令牌文件与主机访问。总结 从源码构建到读取密钥AWS Workload Credentials Provider 只需四条命令、十分钟时间。它把 Secrets Manager 与 ACM 能力统一收敛到本地是 Lambda 扩展、容器 Sidecar、EC2 与本地主机场景下标准化消费 AWS 凭据的理想选择。现在就动手构建体验一把本地密钥服务的丝滑吧 Windows 用户可参考仓库文档安装 Rust 后同样执行cargo build --release得到target/release/aws-workload-credentials-provider.exe再以管理员身份运行 install.ps1 完成安装。【免费下载链接】aws-workload-credentials-providerThe AWS Workload Credentials Provider (formerly the AWS Secrets Manager Agent) is a client-side solution that helps you standardize how you consume credentials from AWS services across your compute environments.项目地址: https://gitcode.com/gh_mirrors/aw/aws-workload-credentials-provider创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考