如何用S3替换Opsworks栈的自定义JSON存储敏感环境变量？

当然可以用S3来替代OpsWorks自定义JSON存储敏感配置，这不仅能避免明文暴露，还能在栈删除后保留你的配置，完美解决你提到的两个问题！下面是具体的实现步骤，一步步来就行：

1. 准备S3桶与加密配置文件 #

首先你需要创建一个专门的S3桶来存放配置，同时做好安全防护：

• 创建S3桶时，建议开启版本控制（防止配置被误删），并设置严格的桶策略，只有OpsWorks实例的IAM角色能访问这个桶。
• 把你的配置JSON（包含数据库敏感信息）保存为文件（比如命名为opsworks-db-config.json），内容就是你给出的示例：

  { 
    "database": [ 
      { 
        "name": "db_name", 
        "username": "user_name", 
        "password": "your_secure_password" 
      } 
    ] 
  }
  

• 将这个文件上传到S3桶，并启用服务器端加密（SSE-KMS），用AWS KMS密钥加密存储，进一步保障敏感数据安全。

2. 给OpsWorks实例赋予S3访问权限 #

OpsWorks实例需要有读取这个S3文件的权限，所以要给实例的IAM角色添加对应的权限策略：

• 找到你的OpsWorks栈关联的IAM实例角色，附加以下自定义策略（替换成你的桶名和文件路径）：

  {
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": "s3:GetObject",
        "Resource": "arn:aws:s3:::your-config-bucket-name/opsworks-db-config.json"
      }
    ]
  }
  

  遵循最小权限原则，不要给整个桶的访问权限，只授权到具体的配置文件。

3. 在OpsWorks自定义配方中加载S3配置 #

接下来需要修改你的OpsWorks自定义配方，让实例在启动时从S3拉取配置并加载为节点属性，替代原来的自定义JSON：

• 如果你用Chef配方，可以用aws_s3_file资源来拉取文件，然后解析JSON：

  # 从S3拉取配置文件到本地临时目录
  aws_s3_file '/tmp/opsworks-db-config.json' do
    bucket 'your-config-bucket-name'
    key 'opsworks-db-config.json'
    region 'your-aws-region' # 比如us-east-1
    action :create
  end
  
  # 读取并解析JSON内容，赋值给节点属性
  config_data = JSON.parse(File.read('/tmp/opsworks-db-config.json'))
  node.default['database'] = config_data['database']
  

• 如果你用Shell脚本配方，也可以用AWS CLI来拉取：

  # 拉取S3文件到本地
  aws s3 cp s3://your-config-bucket-name/opsworks-db-config.json /tmp/config.json
  
  # 解析JSON并设置环境变量（或者传递给应用）
  DB_NAME=$(jq -r '.database[0].name' /tmp/config.json)
  DB_USER=$(jq -r '.database[0].username' /tmp/config.json)
  DB_PASS=$(jq -r '.database[0].password' /tmp/config.json)
  

  注意：如果用Shell脚本，需要确保实例上安装了jq工具来解析JSON。

4. 验证与后续维护 #

• 启动或重启OpsWorks实例，检查配方是否成功加载S3中的配置，应用是否能正常连接数据库。
• 当你需要修改配置时，直接更新S3中的JSON文件即可，下次实例启动时会自动拉取最新配置。
• 即使OpsWorks栈被删除，S3桶中的配置文件依然保留，下次创建新栈时只需复用这个桶和配方即可，无需重新输入敏感信息。

额外安全提示 #

• 开启S3桶的访问日志，监控配置文件的访问情况，及时发现异常访问。
• 定期轮换KMS密钥（如果用SSE-KMS加密），进一步提升安全性。
• 不要在配方或栈的任何明文配置中留下敏感信息，所有敏感内容都放在S3加密文件里。

内容的提问来源于stack exchange，提问作者learnc