Como instalar * com segurança * um pacote privado python do github em um script de bootstrap AWS EMR

Graças a Maurice, implementei com sucesso um processo seguro, seguindo sua opção # 2.

1. Crie um token de acesso com credenciais de leitura no github.
2. Armazene isso no AWS Secrets Manager. No meu caso, chamei esse segredo de "github-read-access"
3. Conceda acesso a esse segredo para o usuário que vai consultá-lo ou, no caso de um script EMR de bootstrap, para as funções de EMR.
4. Usando o aws CLI, eu armazeno o token como uma variável de ambiente e instalo o pacote com os seguintes comandos:

export GITHUB_TOKEN=`aws secretsmanager get-secret-value --secret-id github-read-access |grep SecretString|cut -d ":" -f 3|cut -d '"' -f 2 |cut -d '\' -f1`
sudo pip3 install git+https://${GITHUB_TOKEN}@github.com/<USER_NAME>/<REPO_NAME>.git