タスク定義の secrets（コンテナ起動時に注入）

  • ECS エージェントが代わりに SSM を読む → タスク実行ロール（ executionRole ）の権限が必要
  • ただし CDK は ecs.Secret.fromSsmParameter() を使うと、CDK が自動で executionRole に対象パラメータの grantRead() を呼んでくれる
  • なので CDK に明示的なポリシー追加は必要なく CDK が裏で処理している

アプリ内でコードから SsmClient->getParameter() / putParameter() を呼ぶ場合

  • コンテナプロセス自身が AWS API を叩く → タスクロール（ taskRole ）の権限が必要
  • CDK の自動付与は起動時の secrets だけなので明示的なポリシーが必要

まとめ

起動時注入は CDK が自動処理、コードでの呼び出す場合は手動でタスクロールに付与する必要がある