如何在AWS CodeBuild构建规范文件中为parameter-store使用动态密钥？

首先得明确：CodeBuild的parameter-store字段本身不支持直接引用预定义的环境变量。这是因为parameter-store的解析逻辑在构建环境初始化的极早期执行，这时候你通过CodeBuild项目设置的STAGE、BRANCH这类环境变量还没被加载到环境中，所以变量替换不会生效。

不过我们可以换个思路，在构建阶段通过AWS CLI手动获取SSM参数，这样就能正常使用已有的环境变量了。下面是具体的实现方案：

步骤1：确保CodeBuild角色有SSM访问权限 #

首先要给你的CodeBuild服务角色添加访问SSM Parameter Store的权限，比如添加这样的IAM策略：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ssm:GetParameter",
                "ssm:GetParameters"
            ],
            "Resource": "arn:aws:ssm:${AWS_REGION}:${AWS_ACCOUNT_ID}:parameter/${STAGE}/deep-link/*"
        }
    ]
}

（注意替换占位符为你的实际AWS区域和账号ID，或者根据需求调整资源路径的宽松程度）

步骤2：在buildspec.yml中通过CLI获取参数 #

修改你的buildspec.yml，去掉parameter-store字段，转而在pre_build或者install阶段用AWS CLI命令获取参数并导出为环境变量：

version: 0.2
env:
  variables:
    RUNTIME: "nodejs8.10"
    # 预定义的环境变量（来自CodeBuild项目配置）
    # STAGE: "dev"
    # BRANCH: "main"
phases:
  pre_build:
    commands:
      # 获取Lambda执行角色ARN，使用已有的环境变量拼接参数路径
      - export LAMBDA_EXECUTION_ROLE_ARN=$(aws ssm get-parameter --name "/${STAGE}/deep-link/${BRANCH}/GetUri/lambdaExecutionRoleArn" --query "Parameter.Value" --output text)
      # 获取另一个参数，如果是敏感参数（SecureString），记得加上--with-decryption
      - export ENV_SAMPLE_KEY=$(aws ssm get-parameter --name "/${STAGE}/deep-link/${BRANCH}/GetUri/key1" --query "Parameter.Value" --output text)
  install:
    commands:
      # 你的安装命令，现在可以直接使用上面导出的环境变量了
      - echo "Lambda role ARN: $LAMBDA_EXECUTION_ROLE_ARN"
      # ...其他安装命令

额外注意事项 #

• 如果参数是SecureString类型，必须在aws ssm get-parameter命令后加上--with-decryption参数，否则会返回加密后的字符串。
• 可以添加错误处理逻辑，避免参数不存在时构建继续执行：

  - PARAM_VALUE=$(aws ssm get-parameter --name "/${STAGE}/deep-link/${BRANCH}/GetUri/lambdaExecutionRoleArn" --query "Parameter.Value" --output text) || exit 1
  - export LAMBDA_EXECUTION_ROLE_ARN=$PARAM_VALUE
  

• 如果需要批量获取多个参数，推荐使用aws ssm get-parameters提高效率（需要环境中有jq工具，若没有可提前安装）：

  - aws ssm get-parameters --names "/${STAGE}/deep-link/${BRANCH}/GetUri/lambdaExecutionRoleArn" "/${STAGE}/deep-link/${BRANCH}/GetUri/key1" --query "Parameters[*].{Name:Name,Value:Value}" --output json | jq -r '.[] | "export \(.Name | split("/")[-1])=\(.Value)"' >> /tmp/ssm-params.sh
  - source /tmp/ssm-params.sh
  

内容的提问来源于stack exchange，提问作者rynop