如何在AWS Elastic Beanstalk中用KMS加密Java应用的环境变量？

嗨，这个需求我之前帮不少开发者落地过，整个流程其实清晰明了，咱们拆成几个关键步骤来做：

1. 准备KMS密钥与配置IAM权限 #

首先得有一个KMS对称密钥来处理加密解密，同时要确保相关角色有对应的权限：

• 创建KMS对称密钥：在AWS控制台的KMS服务里，选择和你的Elastic Beanstalk环境同区域的区域，创建一个对称加密密钥（默认类型即可）。记得给密钥起个好识别的别名，比如eb-app-secrets-key。
• 配置实例角色权限：找到Elastic Beanstalk环境使用的EC2实例角色（通常名字是aws-elasticbeanstalk-ec2-role开头），给它附加一个自定义IAM策略，允许对刚才创建的KMS密钥执行kms:Decrypt操作：

  {
      "Version": "2012-10-17",
      "Statement": [
          {
              "Effect": "Allow",
              "Action": "kms:Decrypt",
              "Resource": "arn:aws:kms:<你的区域>:<你的账号ID>:key/<密钥ID>"
          }
      ]
  }
  

• 配置你的本地/管理账号权限：如果你要自己加密敏感值，确保你的AWS账号有该KMS密钥的kms:Encrypt权限，同样可以通过IAM策略配置。

2. 加密敏感值并配置到EB环境变量 #

现在把你的明文密钥/密码加密，然后替换EB环境里的明文值：

• 用AWS CLI加密：在本地终端执行以下命令（替换占位符），得到加密后的Base64字符串：

  aws kms encrypt --key-id <你的KMS密钥ID或别名> --plaintext "你的明文密码" --output text --query CiphertextBlob
  

• 更新EB环境变量：登录AWS控制台的Elastic Beanstalk页面，找到你的应用环境，进入「配置」→「软件」，把原来的明文敏感值替换成上面得到的加密字符串，比如原来的DB_PASSWORD=myplainpass改成DB_PASSWORD=<加密后的Base64字符串>。

3. 在Java应用中实现自动解密注入 #

接下来要让Spring（假设你用的是Spring，因为提到了@Data和@Value）在注入环境变量时自动解密：

方式一：自定义解密工具类+@PostConstruct #

这是最直接的方式，不需要额外依赖：

• 首先添加AWS KMS SDK依赖到你的pom.xml（如果是Maven）：

  <dependency>
      <groupId>com.amazonaws</groupId>
      <artifactId>aws-java-sdk-kms</artifactId>
      <version>1.12.500</version> <!-- 用最新稳定版即可 -->
  </dependency>
  

• 然后创建配置类，注入加密值并在初始化时解密：

  import com.amazonaws.services.kms.AWSKMS;
  import com.amazonaws.services.kms.AWSKMSClientBuilder;
  import com.amazonaws.services.kms.model.DecryptRequest;
  import org.springframework.beans.factory.annotation.Value;
  import org.springframework.stereotype.Component;
  import javax.annotation.PostConstruct;
  import java.nio.ByteBuffer;
  import java.util.Base64;
  
  @Component
  @Data // 你的Lombok注解
  public class AppSecrets {
      // 注入加密后的环境变量值
      @Value("${DB_PASSWORD}")
      private String encryptedDbPassword;
      // 解密后的明文值
      private String dbPassword;
  
      @PostConstruct
      public void decryptSecrets() {
          // 初始化KMS客户端（自动使用EC2实例角色的权限）
          AWSKMS kmsClient = AWSKMSClientBuilder.defaultClient();
          // 把Base64字符串转成ByteBuffer
          ByteBuffer ciphertext = ByteBuffer.wrap(Base64.getDecoder().decode(encryptedDbPassword));
          // 发起解密请求
          DecryptRequest request = new DecryptRequest().withCiphertextBlob(ciphertext);
          ByteBuffer plaintext = kmsClient.decrypt(request).getPlaintext();
          // 转成字符串
          dbPassword = new String(plaintext.array());
      }
  }
  

  之后你就可以直接使用appSecrets.getDbPassword()获取明文密码了。

方式二：用Spring Cloud AWS的自动加密支持（更优雅） #

如果你的项目已经引入Spring Cloud，Spring Cloud AWS提供了更自动化的加密解密支持，不需要手动写解密逻辑：

• 添加Spring Cloud AWS KMS依赖：

  <dependency>
      <groupId>io.awspring.cloud</groupId>
      <artifactId>spring-cloud-starter-aws-kms</artifactId>
      <version>2.4.4</version> <!-- 对应你的Spring Cloud版本 -->
  </dependency>
  

• 然后只需要在环境变量值前加上{cipher}前缀，比如DB_PASSWORD={cipher}<加密后的Base64字符串>，Spring会自动识别并调用KMS解密，你直接用@Value("${DB_PASSWORD}")注入的就是明文值了，非常省心。

注意事项 #

• 确保KMS密钥和Elastic Beanstalk环境在同一个AWS区域，否则KMS客户端会连接失败。
• 不要把KMS密钥的ID或硬编码到代码里，尽量通过环境变量或IAM角色自动获取权限。
• 如果你的应用是多实例部署，每个实例都会自动使用EC2角色权限解密，不需要额外配置凭证。

内容的提问来源于stack exchange，提问作者Arun Selin