如何将私密环境变量传递给Elastic Beanstalk上的Docker应用

1. 原生EB环境变量传递方案（无明文泄露风险） #

你遇到的容器无法接收EB配置变量的问题，是因为没有在Dockerrun.aws.json中配置变量引用，无需写入明文值即可实现变量传递：

• 在EB控制台/CLI中配置好私密环境变量的键值对（例如DB_URL、JWT_SECRET）
• 在Dockerrun.aws.json的Environment字段中，使用CloudFormation Ref函数引用对应变量键名即可，示例配置如下：

{
  "AWSEBDockerrunVersion": "1",
  "Image": {
    "Name": "你的镜像仓库地址",
    "Update": "true"
  },
  "Ports": [
    {
      "ContainerPort": "3000"
    }
  ],
  "Environment": [
    {
      "Name": "DB_URL",
      "Value": {"Ref": "DB_URL"}
    },
    {
      "Name": "JWT_SECRET",
      "Value": {"Ref": "JWT_SECRET"}
    }
  ]
}

该配置文件可以直接提交到公开代码仓库，不会泄露任何私密值。

2. Dockerfile/docker-compose.yml变量引用规则 #

• Dockerfile：不要使用ENV指令硬编码私密值，该值会固化到镜像层可被所有人查询。如果需要在构建阶段使用临时密钥，可以使用ARG指令，在CodePipeline构建步骤动态传入密钥，不会留存到最终镜像或代码仓库。运行时的私密变量不要通过Dockerfile配置。
• docker-compose.yml：Amazon Linux 2版本的EB平台支持直接引用宿主机环境变量，仅需要在compose文件中写变量占位符即可：

version: '3.8'
services:
  node-service:
    build: .
    ports:
      - "80:3000"
    environment:
      DB_URL: ${DB_URL}
      JWT_SECRET: ${JWT_SECRET}

EB会自动将控制台配置的环境变量注入到宿主机，compose启动时会自动读取对应值传入容器，无需写入明文。

3. 更高安全级别的配置方案 #

如果不希望密钥在EB环境变量中明文可见，可以对接AWS Secrets Manager/Systems Manager Parameter Store存储私密值：

• 首先给EB实例关联的IAM角色添加对应密钥的读取权限
• 在Node服务启动脚本中调用AWS SDK读取密钥，赋值为进程环境变量即可，全程不需要把密钥写入任何配置文件
• 该方案适合对安全要求高的生产环境使用。

避坑提示 #

• 不要在构建阶段传入运行时使用的密钥，避免密钥泄露到构建产物中
• 建议升级到Amazon Linux 2版本的EB平台，旧版Amazon Linux AMI平台对环境变量传递的支持存在已知缺陷

内容的提问来源于stack exchange，提问作者Julian George