如何正确集成AWS Secrets Manager与Elastic Beanstalk？解决部署异常

你遇到的核心问题是：Elastic Beanstalk（EB）的环境变量不会自动解析执行Shell命令。手动更新环境变量时，你可能是本地执行命令后将结果填入，所以EB运行正常；但通过CodePipeline部署时，EB直接把命令字符串当作环境变量值存储，还因解析截断导致数据库连接使用了错误的用户名（从报错信息能看到命令被截断成了$(aws secrets manager get-secret-value --secret-i），最终触发数据库权限错误。

1. 配置EC2实例的IAM权限 #

首先要确保EB的EC2实例角色拥有访问Secrets Manager的权限，给实例角色（通常名称为aws-elasticbeanstalk-ec2-role）附加以下IAM策略：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "secretsmanager:GetSecretValue",
            "Resource": "arn:aws:secretsmanager:ca-central-1:465688179233:secret:CNP-staging-Secret-credentials-tiQrEv"
        }
    ]
}

2. 使用.ebextensions自动拉取密钥 #

在应用代码根目录创建.ebextensions/secrets.config文件，通过配置命令在实例启动/部署时拉取密钥并注入环境变量：

commands:
  01_fetch_db_credentials:
    command: |
      # 拉取并解析SecretString
      SECRET=$(aws secretsmanager get-secret-value --secret-id arn:aws:secretsmanager:ca-central-1:465688179233:secret:CNP-staging-Secret-credentials-tiQrEv --region ca-central-1 | jq -r '.SecretString')
      # 提取用户名和密码并写入系统环境变量文件
      echo "export DB_USERNAME=$(echo $SECRET | jq -r '.DB_USERNAME')" >> /etc/profile.d/eb_secrets.sh
      echo "export DB_PASSWORD=$(echo $SECRET | jq -r '.DB_PASSWORD')" >> /etc/profile.d/eb_secrets.sh
container_commands:
  01_load_secrets:
    command: source /etc/profile.d/eb_secrets.sh

3. （推荐）使用平台钩子（Amazon Linux 2+） #

如果你的EB平台是Amazon Linux 2或更高版本，推荐用平台钩子替代.ebextensions，更贴合现代EB的部署流程：

1. 在应用根目录创建路径.platform/hooks/predeploy/
2. 在该路径下创建脚本01_fetch_secrets.sh，内容如下：

#!/bin/bash
SECRET_ARN="arn:aws:secretsmanager:ca-central-1:465688179233:secret:CNP-staging-Secret-credentials-tiQrEv"
# 拉取并解析密钥
SECRET_STRING=$(aws secretsmanager get-secret-value --secret-id $SECRET_ARN --region ca-central-1 --query SecretString --output text)
# 将密钥写入EB默认的环境变量文件
echo "DB_USERNAME=$(echo $SECRET_STRING | jq -r .DB_USERNAME)" >> /opt/elasticbeanstalk/deployment/env
echo "DB_PASSWORD=$(echo $SECRET_STRING | jq -r .DB_PASSWORD)" >> /opt/elasticbeanstalk/deployment/env

3. 给脚本添加执行权限：chmod +x .platform/hooks/predeploy/01_fetch_secrets.sh

4. 清理原有配置 #

登录EB控制台，删除之前手动添加的包含Shell命令的环境变量，避免与新配置冲突。

内容的提问来源于stack exchange，提问作者saad jaha kayani