如何在AWS CodeStar与Elastic Beanstalk中保留修改后的环境变量

我之前也碰到过一模一样的情况，结合AWS的最佳实践，给你几个可行的解决方案：

1. 先移除.ebextensions里的敏感环境变量定义 #

你现在遇到的核心问题是：.ebextensions/django.config里定义的aws:elasticbeanstalk:application:environment配置，会在部署时强制覆盖控制台设置的环境变量。因为Elastic Beanstalk的配置优先级是：配置文件（.ebextensions）> 控制台环境属性。所以只要你的配置文件里写了DB_HOST: placeholder，每次代码部署都会把控制台设置的真实DB_HOST替换成占位符。

第一步先做这个：把django.config里那些需要动态修改的敏感变量（比如DB_HOST、DB_PASSWORD等）从option_settings里删掉，只保留不需要变动的配置项（比如DJANGO_SETTINGS_MODULE这类固定值）。

2. 用Elastic Beanstalk环境属性持久化存储变量 #

这是最直接的方案，把敏感变量放在EB的环境属性里，这些设置属于环境级别的配置，不会被代码部署覆盖（除非你主动在配置文件或CloudFormation模板里重写它们）：

• 控制台操作方式：

  1. 进入你的Elastic Beanstalk环境
  2. 点击「配置」→ 找到「软件」配置模块，点击「编辑」
  3. 在「环境属性」里添加你的变量（比如DB_HOST、DB_USER、DB_PASSWORD），填写真实值后保存
  4. 之后每次推送代码部署，这些变量都会完整保留，不会被覆盖

• AWS CLI操作方式（适合自动化场景）：
  用以下命令设置单个变量：

  aws elasticbeanstalk update-environment \
    --environment-name YOUR_ENVIRONMENT_NAME \
    --option-settings Namespace=aws:elasticbeanstalk:application:environment,OptionName=DB_HOST,Value=your-real-db-host
  

  批量设置可以用--option-settings传入多个参数，或者用JSON文件批量配置。

3. 进阶方案：用AWS Secrets Manager存储敏感密钥（更安全） #

如果你的变量是数据库密码、API密钥这类高度敏感的信息，不建议直接存在环境属性里（虽然EB会加密存储，但用Secrets Manager能实现密钥轮换、细粒度权限控制等更安全的功能）：

具体步骤： #

1. 在AWS Secrets Manager里创建一个密钥，把数据库的用户名、密码、地址等信息存入其中
2. 给Elastic Beanstalk的实例IAM角色添加secretsmanager:GetSecretValue权限，让实例有权拉取密钥
3. 在.ebextensions里添加容器命令，在应用启动前从Secrets Manager获取密钥并写入环境变量文件：

   option_settings:
     aws:elasticbeanstalk:application:environment:
       # 非敏感固定变量可以保留在这里
       DJANGO_SETTINGS_MODULE: myproject.settings
   container_commands:
     01_fetch_db_secrets:
       command: |
         # 拉取密钥并解析出需要的字段
         SECRET=$(aws secretsmanager get-secret-value --secret-id my-db-secret --query SecretString --output text)
         DB_HOST=$(echo $SECRET | jq -r '.db_host')
         DB_USER=$(echo $SECRET | jq -r '.db_user')
         DB_PASSWORD=$(echo $SECRET | jq -r '.db_password')
         
         # 写入EB Python环境的变量文件（不同平台路径可能不同）
         echo "export DB_HOST='$DB_HOST'" >> /opt/python/current/env
         echo "export DB_USER='$DB_USER'" >> /opt/python/current/env
         echo "export DB_PASSWORD='$DB_PASSWORD'" >> /opt/python/current/env
   

   这样每次部署时，应用会自动拉取最新的密钥，不需要手动维护环境变量，也完全不会把密钥提交到代码仓库。

4. 检查CodeStar的CloudFormation模板 #

因为CodeStar创建的项目是用CloudFormation管理EB环境的，要确保CloudFormation模板里没有硬编码环境变量，否则部署时会覆盖你的手动设置。检查模板里的AWS::ElasticBeanstalk::Environment资源，看是否有OptionSettings里定义了敏感变量，如果有的话，把它们移除，改用环境属性管理即可。

内容的提问来源于stack exchange，提问作者Almad