向Elastic Beanstalk Docker容器传递环境变量的可行方案问询

方案1：直接传递Elastic Beanstalk环境变量到容器 #

你不需要把环境变量硬编码到.config文件或者Dockerrun.aws.json里，可以通过修改EB EC2实例的Docker启动逻辑实现变量透传：

• 首先给你的Elastic Beanstalk实例角色添加对应访问权限：仅透传普通环境变量不需要额外权限，后续要用到敏感密钥可提前添加Secrets Manager/SSM Parameter Store的读取权限，遵循最小权限原则限制资源范围
• 在EB的.ebextensions目录下新建一个仅包含逻辑、无任何敏感信息的配置文件（不会泄露密钥），内容示例：

files:
  "/opt/elasticbeanstalk/hooks/appdeploy/pre/01_inject_env_vars_to_docker_run.sh":
    mode: "000755"
    owner: root
    group: root
    content: |
      #!/bin/bash
      EB_ENV_VARS=$(sudo /opt/elasticbeanstalk/bin/get-config environment | jq -r 'to_entries|map("\(.key)=\(.value|tostring)")|.[]' | sed 's/^/-e /' | tr '\n' ' ')
      # 替换原有docker run命令，注入所有EB环境变量
      sed -i "s/docker run /docker run $EB_ENV_VARS /" /opt/elasticbeanstalk/hooks/appdeploy/enact/00run.sh

• 这个方案的好处是你所有在EB控制台定义的环境变量都会自动透传到容器内部，不需要修改构建流程，也不需要硬编码任何密钥。

方案2：容器运行时主动拉取Secrets Manager/SSM参数 #

这是安全性最高的方案，完全不需要把密钥暴露在EB的环境配置或者任何配置文件里：

• 首先给Elastic Beanstalk的实例IAM角色添加对应Secrets Manager密钥或者SSM Parameter Store参数的读取权限
• 修改你的Docker镜像启动入口脚本，在启动应用进程之前，用AWS CLI或者SDK拉取对应密钥，导出为环境变量后再启动应用，示例入口脚本：

#!/bin/bash
# 拉取Secrets Manager中的密钥
export DB_PASSWORD=$(aws secretsmanager get-secret-value --secret-id prod/db/password --region eu-west-1 --query SecretString --output text)
# 拉取SSM参数存储的普通配置
export APP_ENV=$(aws ssm get-parameter --name /prod/app/env --region eu-west-1 --query Parameter.Value --output text)
# 启动你的应用
exec node server.js

• 这个方案所有密钥的读取权限都通过IAM控制，没有任何明文泄露风险，也不需要修改EB的配置逻辑。

方案3：使用Dockerrun.aws.json v2版本引用密钥 #

如果你用的是Amazon ECS作为EB的平台后端，可以升级Dockerrun.aws.json到版本2，直接在配置里引用Secrets Manager的密钥，不需要硬编码值：

{
  "AWSEBDockerrunVersion": 2,
  "containerDefinitions": [
    {
      "name": "test-web",
      "image": "12345678.dkr.ecr.eu-west-1.amazonaws.com/test-web:latest",
      "portMappings": [
        {
          "containerPort": 80,
          "hostPort": 80
        }
      ],
      "secrets": [
        {
          "name": "DB_PASSWORD",
          "valueFrom": "arn:aws:secretsmanager:eu-west-1:12345678:secret:prod-db-password-xxxx"
        }
      ]
    }
  ]
}

• 这个配置文件可以固定放在代码仓库里，不需要每次构建动态生成，只需要给EB的ECS任务角色添加对应密钥的读取权限即可，不会泄露任何敏感信息。

内容的提问来源于stack exchange，提问作者Anand