为 Elastic Beanstalk 环境变量获取密钥与参数

Elastic Beanstalk 可以在实例引导期间从 AWS Secrets Manager 和 AWS Systems Manager Parameter Store 中获取值，并将它们分配给环境变量以供您的应用程序使用。

以下要点总结了使用环境变量作为密钥的配置、同步与访问方式：

支持的平台版本

2025 年 3 月 26 日当天或之后发布的平台版本支持将 AWS Secrets Manager 密钥和 AWS Systems Manager Parameter Store 参数配置为环境变量。

定价

使用 Secrets Manager 和 Systems Manager Parameter Store 需支付标准费用。有关定价的更多信息，请参阅以下网站：

对于应用程序通过环境变量引用的环境密钥，Elastic Beanstalk 不会收取额外费用。但 Elastic Beanstalk 代您向这些服务发起的 API 请求仍需支付标准费用。

将密钥配置为 Elastic Beanstalk 环境变量

您可以通过 Elastic Beanstalk 控制台、.ebextensions 中的配置文件、AWS CLI 和 AWS SDK 将密钥和参数配置为环境变量。

先决条件

在设置环境变量以引用密钥之前，首先需要完成以下步骤。

使用控制台

您可以通过 Elastic Beanstalk 控制台将密钥配置为环境变量。

使用 .ebextensions 中的文件进行配置

您可以通过 Elastic Beanstalk 配置文件将密钥配置为环境变量。使用 aws:elasticbeanstalk:application:environmentsecrets 命名空间定义环境属性。

option_settings:
  aws:elasticbeanstalk:application:environmentsecrets:
    MY_SECRET: arn:aws:secretsmanager:us-east-1:111122223333:secret:mysecret
    MY_PARAMETER: arn:aws:ssm:us-east-1:111122223333:parameter/myparam
        

option_settings:
  - namespace: aws:elasticbeanstalk:application:environmentsecrets
    option_name: MY_SECRET
    value: arn:aws:secretsmanager:us-east-1:111122223333:secret:mysecret
  - namespace: aws:elasticbeanstalk:application:environmentsecrets
    option_name: MY_PARAMETER
    value: arn:aws:ssm:us-east-1:111122223333:parameter/myparam

使用 AWS CLI 进行配置

您可以通过 AWS 命令行界面（AWS CLI）将密钥配置为 Elastic Beanstalk 环境变量。本节提供包含 aws:elasticbeanstalk:application:environmentsecrets 命名空间 create-environment 和 update-environment 命令的示例。Elastic Beanstalk 为这些命令所引用的环境引导 EC2 实例时，它会使用获取的密钥和参数值来初始化环境变量。它从 Secrets Manager 和 Systems Manager Parameter Store 相应的 ARN 中获取这些值。

以下两个示例使用 create-environment 命令分别添加一个密钥和一个参数，并将其配置为名为 MY_SECRET 和 MY_PARAMETER 的环境变量。

aws elasticbeanstalk create-environment \
--region us-east-1 \
--application-name my-app \
--environment-name my-env \
--solution-stack-name "64bit Amazon Linux 2023 v6.5.0 running Node.js 20" \
--option-settings \
Namespace=aws:elasticbeanstalk:application:environmentsecrets,OptionName=MY_SECRET,Value=arn:aws:secretsmanager:us-east-1:111122223333:secret:mysecret \
Namespace=aws:elasticbeanstalk:application:environmentsecrets,OptionName=MY_PARAMETER,Value=arn:aws:ssm:us-east-1:111122223333:parameter/myparam 

作为替代方法，请使用 options.json 文件来指定命名空间选项，而不是将其内联。

aws elasticbeanstalk create-environment \
--region us-east-1 \
--application-name my-app \
--environment-name my-env \
--solution-stack-name "64bit Amazon Linux 2023 v6.5.0 running Node.js 20" \
--option-settings file://options.json

### example options.json ###
[
  {
    "Namespace": "aws:elasticbeanstalk:application:environmentsecrets",
    "OptionName": "MY_SECRET",
    "Value": "arn:aws:secretsmanager:us-east-1:111122223333:secret:mysecret"
  },
  {
    "Namespace": "aws:elasticbeanstalk:application:environmentsecrets",
    "OptionName": "MY_PARAMETER",
    "Value": "arn:aws:ssm:us-east-1:111122223333:parameter/myparam"
  }
]

下一个示例配置名为 MY_SECRET 和 MY_PARAMETER 的环境变量，以存储现有环境的密钥和参数。update-environment 命令会传递与 create-environment 命令语法相同的选项，既支持内联方式传入参数，也支持通过 options.json 文件进行配置。以下示例展示了使用与之前示例相同的 options.json 文件来执行命令。

aws elasticbeanstalk update-environment \
--region us-east-1 \
--application-name my-app \
--environment-name my-env \
--solution-stack-name "64bit Amazon Linux 2023 v6.5.0 running Node.js 20" \
--option-settings file://options.json

使用 AWS SDK 进行配置

通过 AWS SDK 将密钥或参数配置为环境变量。与上一节中提到的 update-environment 和 create-environmentAWS CLI 命令类似，您也可以使用 CreateEnvironment 和 UpdateEnvironment API 操作。使用 OptionSettings 请求参数来指定 aws:elasticbeanstalk:application:environmentsecrets 命名空间的选项。

将密钥与 Elastic Beanstalk 环境变量同步的最佳实践

本主题为您推荐在应用程序中将环境密钥与 Secrets Manager 或 Systems Manager Parameter Store 配合使用时的最佳实践。如果密钥存储数据更新或轮换，您的 Elastic Beanstalk 应用程序将不会自动接收更新后的值。Elastic Beanstalk 仅会在实例引导时将密钥提取到环境变量中。

刷新环境变量

要触发您的 Elastic Beanstalk 环境从密钥存储中重新获取密钥的最新值，建议您运行 UpdateEnvironment 或 RestartAppServer 操作。您可以通过 Elastic Beanstalk 控制台、AWS CLI 或 Elastic Beanstalk API 运行这些操作。有关更多信息，请参阅 Elastic Beanstalk 的 AWS CLI 示例或《AWS Elastic Beanstalk API 参考》。https://docs.aws.amazon.com/elasticbeanstalk/latest/api/

管理自动扩缩对密钥同步的影响

如果在密钥存储更新后发生横向扩展事件或实例替换，则出现的新实例将具有来自 Secrets Manager 或 Systems Manager Parameter Store 的最新密钥值。即使并非环境中的所有其他实例都已刷新以检索新密钥，也可能发生此类事件。

这种应用场景的一个例子就是数据库凭证轮换。当凭证轮换之后出现横向扩展事件时，新引导的实例引用的环境密钥包含更新后的数据库凭证。但是，现有实例引用的环境密钥会保留旧值，直到通过 UpdateEnvironment 或 RestartAppServer 操作刷新。

Amazon Linux 2 环境变量中的多行值

多行值由多行文本组成，包含一个换行符。除基于 Docker 和 ECS 的 Docker 平台外，在 Amazon Linux 2 上运行的平台均不支持多行变量值

针对多行值问题，可参考以下替代方法或解决方案：