如何为Elastic Beanstalk Quellbundle上传敏感文件并同步到所有自动扩缩容实例

方案1：使用Elastic Beanstalk环境属性存储敏感值，部署时动态生成文件 #

这是适配Elastic Beanstalk生态的首选方案，完全兼容自动扩缩容和现有CodePipeline流程：

• 进入Elastic Beanstalk控制台，打开对应环境的「配置」→「软件」面板，找到「环境属性」模块，把敏感文件里的键值对逐条录入，比如配置项为DB_PASSWORD就填写对应的键和值，保存后这些属性会自动注入到所有关联EC2实例的系统环境变量中。
• 在你的代码仓库根目录新建.ebextensions/文件夹，在文件夹下新增后缀为.config的扩展配置文件，写入逻辑让实例在部署/启动时自动从环境变量读取值生成目标敏感文件，示例配置如下：

files:
  "/var/app/current/.env": # 替换为你的敏感文件实际存放路径
    mode: "000644"
    owner: webapp
    group: webapp
    content: |
      DB_HOST=%{ENV:DB_HOST}
      DB_USER=%{ENV:DB_USER}
      DB_PASSWORD=%{ENV:DB_PASSWORD}
      OTHER_SENSITIVE_CONF=%{ENV:OTHER_SENSITIVE_CONF}

该配置会随CodePipeline的部署包一起下发，新扩容的实例启动时也会自动执行生成文件的逻辑，无需手动操作。

方案2：通过AWS机密管理服务存储完整敏感文件 #

如果敏感文件是二进制格式或者内容较多不适合拆分为键值对，可以用该方案：

• 把敏感文件上传到AWS Secrets Manager，或者存入Systems Manager Parameter Store的安全字符串类型，给Elastic Beanstalk的EC2实例角色授予对应资源的读取权限。
• 同样在.ebextensions的配置文件中添加拉取逻辑，让实例启动时主动拉取加密内容写入本地文件，示例配置如下：

commands:
  01_pull_sensitive_file:
    command: |
      aws secretsmanager get-secret-value --secret-id 你的机密ID --query SecretString --output text > /var/app/current/sensitive.config
    test: test ! -f /var/app/current/sensitive.config

如果使用Parameter Store，把命令替换为对应aws ssm get-parameter的调用即可。

注意事项 #

• 代码仓库中仅存放配置生成逻辑，所有明文敏感值仅保存在Elastic Beanstalk环境属性或者机密管理服务中，不会出现泄露风险。
• 现有CodePipeline流程不需要修改，部署时会自动识别.ebextensions文件夹下的配置并生效。
• 自动扩缩容场景下新实例会自动执行配置逻辑，不需要手动同步文件。

内容的提问来源于stack exchange，提问作者ProgrammingDude