本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

使用 Systems Manager 參數存放區指定敏感資料

使用時 AWS Batch，您可以將敏感資料插入容器，方法是將敏感資料儲存在 AWS Systems Manager 參數存放區參數中，然後在容器定義中參考這些資料。

使用 Systems Manager 參數存放區指定敏感資料的注意事項

使用 Systems Manager 參數存放區參數來指定容器的敏感資料時，應考慮以下事項。

AWS Batch 密碼所需的 IAM 許可

若要使用此功能，您必須具有執行角色，並在工作定義中參照它。這可讓 Amazon ECS 容器代理程式提取必要的 AWS Systems Manager 資源。如需詳細資訊，請參閱 AWS Batch 執行IAM角色。

若要提供對您建立之 AWS Systems Manager 參數存放區參數的存取權，請手動將下列權限新增為內嵌原則至執行角色。如需詳細資訊，請參閱 IAM 使用者指南中的新增和移除 IAM 政策。

下列內嵌政策範例新增必要許可：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ssm:GetParameters",
        "secretsmanager:GetSecretValue",
        "kms:Decrypt"
      ],
      "Resource": [
        "arn:aws:ssm:<region>:<aws_account_id>:parameter/<parameter_name>",
        "arn:aws:secretsmanager:<region>:<aws_account_id>:secret:<secret_name>",
        "arn:aws:kms:<region>:<aws_account_id>:key/<key_id>"
      ]
    }
  ]
}

插入敏感資料作為環境變數

在您的容器定義內，將 secrets 指定為要在容器中設定的環境變數名稱，以及 Systems Manager 參數存放區參數 (含有要呈現給容器的敏感資料) 的完整 ARN。

以下是工作定義的片段，顯示參考 Systems Manager 參數存放區參數時的格式。如果「Systems Manager 參數存放區」參數與您正在啟動的工作位於相同的區域中，則您可以使用完整 ARN 或參數名稱。如果參數存在於不同區域，則必須指定完整 ARN。

{
  "containerProperties": [{
    "secrets": [{
      "name": "environment_variable_name",
      "valueFrom": "arn:aws:ssm:region:aws_account_id:parameter/parameter_name"
    }]
  }]
}

將敏感資料插入日誌組態

在您的容器定義內，指定 logConfiguration 時，您可用要在容器中設定的日誌驅動程式選項名稱指定 secretOptions，以及 Systems Manager 參數存放區參數 (含有要呈現給容器的敏感資料) 的完整 ARN。

以下是工作定義的片段，顯示參考 Systems Manager 參數存放區參數時的格式。

{
  "containerProperties": [{
    "logConfiguration": [{
      "logDriver": "fluentd",
      "options": {
        "tag": "fluentd demo"
      },
      "secretOptions": [{
        "name": "fluentd-address",
        "valueFrom": "arn:aws:ssm:region:aws_account_id:parameter/parameter_name"
      }]
    }]
  }]
}

建立 AWS Systems Manager 參數存放區參數

您可以使用 AWS Systems Manager 主控台為您的機密資料建立「Systems Manager 參數存放區」參數。如需詳細資訊，請參閱 《AWS Systems Manager 使用者指南》中的演練：在命令中建立和使用參數 (主控台)。