如何通过Elastic Beanstalk平台钩子设置供Django应用使用的环境变量？

这个问题的核心原因是：Elastic Beanstalk的prebuild钩子运行在一个独立的临时shell环境中，你在钩子脚本里用export设置的环境变量，只会在这个临时shell的生命周期内有效，不会被后续启动的Django应用进程继承。

下面给你两个可行的解决方案，按推荐程度排序：

方案一：将凭据写入系统级环境配置文件 #

EB的应用进程会自动加载/etc/profile.d/目录下的所有脚本，我们可以修改钩子脚本，把数据库凭据写入这个目录下的shell脚本，这样应用启动时就能自动加载这些环境变量。

修改你的set_db_credentials.sh脚本如下：

#!/bin/sh
# 确保依赖工具可用（按需添加，比如Amazon Linux 2用yum，Amazon Linux 2023用dnf）
# yum install -y jq aws-cli

# 从Secrets Manager获取密钥
aws secretsmanager get-secret-value --secret-id="$RDS_SECRETS_ID" --region="$RDS_SECRETS_REGION" --query=SecretString --output text > db_credentials.json

# 生成系统级环境变量脚本
cat > /etc/profile.d/db_credentials.sh << EOF
export RDS_HOSTNAME="$(jq -r '.host' db_credentials.json)"
export RDS_PORT="$(jq -r '.port' db_credentials.json)"
export RDS_USERNAME="$(jq -r '.username' db_credentials.json)"
export RDS_PASSWORD="$(jq -r '.password' db_credentials.json)"
export RDS_DB_NAME="$(jq -r '.dbname' db_credentials.json)"
EOF

# 设置脚本权限，确保能被读取
chmod 644 /etc/profile.d/db_credentials.sh

# 清理临时文件
rm db_credentials.json

额外注意事项： #

• 确保EB实例的IAM角色拥有secretsmanager:GetSecretValue权限，否则钩子脚本无法获取密钥。
• 如果你的EB平台没有预装jq，需要在钩子开头添加安装命令（比如yum install -y jq）。

方案二：让Django直接从Secrets Manager读取凭据 #

跳过环境变量中转这一步，直接在Django的settings.py中编写代码从Secrets Manager获取数据库配置，这样更安全也更直接。

修改你的DATABASES配置如下：

import os
import boto3
import json

def get_rds_secrets():
    secrets_manager = boto3.client('secretsmanager', region_name=os.environ['RDS_SECRETS_REGION'])
    secret_value = secrets_manager.get_secret_value(SecretId=os.environ['RDS_SECRETS_ID'])
    return json.loads(secret_value['SecretString'])

rds_secrets = get_rds_secrets()

DATABASES = {
    'default': {
        'ENGINE': 'django.db.backends.mysql',
        'NAME': rds_secrets['dbname'],
        'USER': rds_secrets['username'],
        'PASSWORD': rds_secrets['password'],
        'HOST': rds_secrets['host'],
        'PORT': rds_secrets['port'],
    }
}

额外注意事项： #

• 同样需要确保EB实例的IAM角色拥有secretsmanager:GetSecretValue权限。
• 确保boto3已经添加到你的requirements.txt中，让EB部署时自动安装。

补充：为什么原方案不生效？ #

EB的部署流程是分阶段执行的，prebuild钩子属于构建阶段的一部分，运行在临时shell会话里。当这个会话结束后，所有通过export设置的环境变量都会被销毁。而应用启动属于运行阶段，是在另一个完全独立的进程环境中，不会继承构建阶段的临时变量。

内容的提问来源于stack exchange，提问作者gowthz