结合CodePipeline/CodeBuild工作流，如何管理Jhipster应用数据库密码？

针对你的AWS工作流，以下是几种安全且符合最佳实践的密码管理方案，避免硬编码敏感信息：

方案1：利用Elastic Beanstalk环境变量 + AWS Secrets Manager #

这是最适配Beanstalk部署的方案，无需修改太多代码：

• 第一步：修改application.prod.yml，将用户名和密码替换为Spring占位符：

  spring:
    devtools:
      restart:
        enabled: false
      livereload:
        enabled: false
    datasource:
      type: com.zaxxer.hikari.HikariDataSource
      url: jdbc:mysql://xxxxxx.amazonaws.com/myApp?useUnicode=true&characterEncoding=utf8&useSSL=false&useLegacyDatetimeCode=false&createDatabaseIfNotExist=true
      username: ${DB_USERNAME}
      password: ${DB_PASSWORD}
  

• 第二步：在AWS Secrets Manager中创建包含数据库用户名和密码的秘钥（比如命名为prod/myapp/db-credentials）。
• 第三步：在Elastic Beanstalk控制台的环境配置中，添加环境变量DB_USERNAME和DB_PASSWORD，值选择从Secrets Manager中对应的字段获取；或者通过.ebextensions配置文件自动拉取：
  创建.ebextensions/secrets.config文件，内容如下：

  container_commands:
    01_get_db_secrets:
      command: |
        export SECRETS=$(aws secretsmanager get-secret-value --secret-id prod/myapp/db-credentials --query SecretString --output text)
        echo "DB_USERNAME=$(echo $SECRETS | jq -r '.username')" >> /opt/elasticbeanstalk/deployment/env
        echo "DB_PASSWORD=$(echo $SECRETS | jq -r '.password')" >> /opt/elasticbeanstalk/deployment/env
  

  注意要给Beanstalk的实例角色添加secretsmanager:GetSecretValue权限。

方案2：Spring Boot直接集成AWS Secrets Manager #

如果希望代码层面直接读取秘钥，无需依赖Beanstalk的环境变量：

• 引入Spring Cloud AWS Secrets Manager依赖（根据你的Spring Boot版本调整）：

  <!-- Maven示例 -->
  <dependency>
    <groupId>io.awspring.cloud</groupId>
    <artifactId>spring-cloud-starter-aws-secrets-manager-config</artifactId>
  </dependency>
  

• 在application.prod.yml中配置秘钥名称，Spring会自动拉取并替换配置：

  spring:
    cloud:
      aws:
        secretsmanager:
          name: prod/myapp/db-credentials
    devtools:
      restart:
        enabled: false
      livereload:
        enabled: false
    datasource:
      type: com.zaxxer.hikari.HikariDataSource
      url: jdbc:mysql://xxxxxx.amazonaws.com/myApp?useUnicode=true&characterEncoding=utf8&useSSL=false&useLegacyDatetimeCode=false&createDatabaseIfNotExist=true
      # 这里无需手动配置username和password，Spring会从Secrets Manager自动注入
  

• 给Beanstalk实例角色添加secretsmanager:GetSecretValue权限。

方案3：CodeBuild构建时注入环境变量（不推荐写入镜像） #

如果需要在构建阶段传递参数，但绝对不要将敏感信息写入Docker镜像：

• 在CodeBuild项目配置中，添加环境变量DB_USERNAME和DB_PASSWORD，选择"Secrets Manager"作为来源，关联对应的秘钥。
• 在构建脚本中，将这些环境变量作为容器启动参数传递，或者生成临时的application.prod.yml（但临时文件不要打包进镜像，而是在Beanstalk部署时挂载）。

关键注意事项 #

• 绝对不要将包含真实密码的application.prod.yml提交到GitHub仓库，确保仓库中的配置文件只保留占位符。
• 所有涉及秘钥操作的IAM角色（CodeBuild服务角色、Beanstalk实例角色）都要遵循最小权限原则，只授予必要的秘钥读取权限。
• 定期轮换数据库密码和Secrets Manager中的秘钥，AWS Secrets Manager支持自动轮换功能，可开启该特性提升安全性。

内容的提问来源于stack exchange，提问作者1977