Geheimnisse und Parameter in die Elastic Beanstalk-Umgebungsvariablen werden abgerufen

Elastic Beanstalk kann während des Instanz-Bootstrappings Werte aus AWS Secrets Manager einem AWS Systems Manager Parameterspeicher abrufen und sie Umgebungsvariablen zuweisen, die Ihre Anwendung verwenden kann.

Die folgenden Punkte fassen Konfiguration, Synchronisation und Zugriff für die Verwendung von Umgebungsvariablen als Geheimnisse zusammen:

Unterstützte Plattformversionen

Plattformversionen, die am oder nach dem 26. März 2025 veröffentlicht wurden, unterstützen AWS Secrets Manager Secrets und AWS Systems Manager Parameter Store-Parameter, die als Umgebungsvariablen konfiguriert sind.

Preisgestaltung

Für die Verwendung von Secrets Manager und Systems Manager Parameter Store fallen Standardgebühren an. Weitere Informationen zur Preisgestaltung finden Sie auf den folgenden Websites:

Elastic Beanstalk berechnet für Ihre Anwendung keine Gebühren, wenn sie über Umgebungsvariablen auf Umgebungsgeheimnisse verweist. Für Anfragen, die Elastic Beanstalk in Ihrem Namen an diese Dienste stellt, fallen jedoch Standardgebühren an.

Konfigurieren Sie Geheimnisse als Elastic Beanstalk-Umgebungsvariablen

Sie können die Elastic Beanstalk-Konsole, die Konfigurationsdateien in.ebextensions, die AWS CLI und das AWS SDK verwenden, um Geheimnisse und Parameter als Umgebungsvariablen zu konfigurieren.

Voraussetzungen

Bevor Sie Ihre Umgebungsvariablen so einrichten können, dass sie auf Geheimnisse verweisen, müssen Sie zunächst die folgenden Schritte ausführen.

Verwenden der Konsole

Sie können die Elastic Beanstalk-Konsole verwenden, um Secrets als Umgebungsvariablen zu konfigurieren.

Konfiguration mithilfe von Dateien in der Erweiterung.ebextensions

Sie können Elastic Beanstalk-Konfigurationsdateien verwenden, um Geheimnisse als Umgebungsvariablen zu konfigurieren. Verwenden Sie den aws: elasticbeanstalk: Anwendung: Umgebungsgeheimnisse Namespace, um Umgebungseigenschaften zu definieren.

option_settings:
  aws:elasticbeanstalk:application:environmentsecrets:
    MY_SECRET: arn:aws:secretsmanager:us-east-1:111122223333:secret:mysecret-AbCd12
    MY_PARAMETER: arn:aws:ssm:us-east-1:111122223333:parameter/myparam
        

option_settings:
  - namespace: aws:elasticbeanstalk:application:environmentsecrets
    option_name: MY_SECRET
    value: arn:aws:secretsmanager:us-east-1:111122223333:secret:mysecret-AbCd12
  - namespace: aws:elasticbeanstalk:application:environmentsecrets
    option_name: MY_PARAMETER
    value: arn:aws:ssm:us-east-1:111122223333:parameter/myparam

Konfiguration mit dem AWS CLI

Sie können die AWS Befehlszeilenschnittstelle (AWS CLI) verwenden, um Geheimnisse als Elastic Beanstalk-Umgebungsvariablen zu konfigurieren. Dieser Abschnitt enthält Beispiele für die Befehle create-environment und https://docs.aws.amazon.com/cli/latest/reference/elasticbeanstalk/update-environment.html update-environment mit dem Namespace. aws: elasticbeanstalk: Anwendung: Umgebungsgeheimnisse Wenn Elastic Beanstalk die EC2-Instances für die Umgebungen, auf die diese Befehle verweisen, bootet, initialisiert es die Umgebungsvariablen mit dem abgerufenen Schlüssel und den Parameterwerten. Es ruft diese Werte aus den jeweiligen ARNs von Secrets Manager und Systems Manager Parameter Store ab.

In den beiden folgenden Beispielen wird der Befehl create-environment verwendet, um ein Geheimnis und einen Parameter hinzuzufügen, die als Umgebungsvariablen mit dem Namen und konfiguriert sind. MY_SECRET MY_PARAMETER

aws elasticbeanstalk create-environment \
--region us-east-1 \
--application-name my-app \
--environment-name my-env \
--platform-arn "arn:aws:elasticbeanstalk:::platform/Node.js 24 running on 64bit Amazon Linux 2023" \
--option-settings \
Namespace=aws:autoscaling:launchconfiguration,OptionName=IamInstanceProfile,Value=aws-elasticbeanstalk-ec2-role \
Namespace=aws:elasticbeanstalk:application:environmentsecrets,OptionName=MY_SECRET,Value=arn:aws:secretsmanager:us-east-1:111122223333:secret:mysecret-AbCd12 \
Namespace=aws:elasticbeanstalk:application:environmentsecrets,OptionName=MY_PARAMETER,Value=arn:aws:ssm:us-east-1:111122223333:parameter/myparam 

Verwenden Sie alternativ eineoptions.json-Datei, um die Namespace-Optionen anzugeben, anstatt sie einzubinden.

aws elasticbeanstalk create-environment \
--region us-east-1 \
--application-name my-app \
--environment-name my-env \
--platform-arn "arn:aws:elasticbeanstalk:::platform/Node.js 24 running on 64bit Amazon Linux 2023" \
--option-settings file://options.json

### example options.json ###
[
  {
    "Namespace": "aws:autoscaling:launchconfiguration",
    "OptionName": "IamInstanceProfile",
    "Value": "aws-elasticbeanstalk-ec2-role"
  },
  {
    "Namespace": "aws:elasticbeanstalk:application:environmentsecrets",
    "OptionName": "MY_SECRET",
    "Value": "arn:aws:secretsmanager:us-east-1:111122223333:secret:mysecret-AbCd12"
  },
  {
    "Namespace": "aws:elasticbeanstalk:application:environmentsecrets",
    "OptionName": "MY_PARAMETER",
    "Value": "arn:aws:ssm:us-east-1:111122223333:parameter/myparam"
  }
]

Im nächsten Beispiel werden die Umgebungsvariablen mit dem Namen MY_SECRET und konfiguriertMY_PARAMETER, um ein Geheimnis und einen Parameter für eine bestehende Umgebung zu speichern. Der Befehl update-environment übergibt Optionen mit derselben Syntax wie der create-environment Befehl, entweder direkt oder in einer Datei. options.json Im folgenden Beispiel wird der Befehl unter Verwendung derselben options.json Datei veranschaulicht, die auch im vorherigen Beispiel verwendet wurde.

aws elasticbeanstalk update-environment \
--region us-east-1 \
--application-name my-app \
--environment-name my-env \
--platform-arn "arn:aws:elasticbeanstalk:::platform/Node.js 24 running on 64bit Amazon Linux 2023" \
--option-settings file://options.json

Konfiguration mit dem AWS SDK

Mithilfe der AWS SDKs können Sie Geheimnisse und Parameter als Umgebungsvariablen konfigurieren. Ähnlich wie bei den im vorherigen Abschnitt erwähnten create-environment AWS CLI Befehlen update-environment und können Sie die UpdateEnvironment API-Aktionen CreateEnvironment und verwenden. Verwenden Sie den OptionSettings Anforderungsparameter, um die Optionen des aws: elasticbeanstalk: Anwendung: Umgebungsgeheimnisse Namespaces anzugeben.

Extrahieren von JSON-Schlüsseln aus Secrets Manager-Secrets

Plattformversionen, die am oder nach dem 13. Januar 2026 veröffentlicht wurden, unterstützen das Extrahieren bestimmter Felder aus JSON-formatted Secrets Manager-Geheimnissen, indem ein Doppelpunkt und der JSON-Schlüsselname an den geheimen ARN angehängt werden. Auf diese Weise können Sie auf einzelne Schlüssel-Wert-Paare innerhalb eines Geheimnisses und nicht auf das gesamte Geheimnis verweisen.

Syntax

Um einen bestimmten JSON-Schlüssel aus einem Geheimnis zu extrahieren, fügen Sie Folgendes :json-key-name an den geheimen ARN an:

arn:aws:secretsmanager:region:account:secret:secret-name-XXXXXX:json-key-name

Die JSON-Schlüsselextraktion kann mit den gleichen Methoden wie reguläre Umgebungsgeheimnisse konfiguriert werden: Konsole, Konfigurationsdateien in.ebextensions, AWS CLI oder AWS SDKs.

Einschränkungen

Beispiel

Das folgende Beispiel zeigt, wie verschiedene Werttypen aus einem JSON-Geheimnis extrahiert werden. Angesichts dieses Geheimnisses:

{
  "stringKey": "value1",
  "numberKey": 42,
  "objectKey": {
    "nested": "data"
  },
  "arrayKey": ["item1", "item2"]
}

Sie können die Extraktion konfigurieren in.ebextensions:

option_settings:
  aws:elasticbeanstalk:application:environmentsecrets:
    STRING_VAR: arn:aws:secretsmanager:us-east-1:111122223333:secret:mysecret-AbCd12:stringKey
    NUMBER_VAR: arn:aws:secretsmanager:us-east-1:111122223333:secret:mysecret-AbCd12:numberKey
    OBJECT_VAR: arn:aws:secretsmanager:us-east-1:111122223333:secret:mysecret-AbCd12:objectKey
    ARRAY_VAR: arn:aws:secretsmanager:us-east-1:111122223333:secret:mysecret-AbCd12:arrayKey

Dies führt zu den folgenden Umgebungsvariablen:

Bewährte Methoden für die Synchronisation von Geheimnissen mit Elastic Beanstalk-Umgebungsvariablen

In diesem Thema werden bewährte Methoden für Ihre Anwendung zur Verwendung von Umgebungsgeheimnissen mit Secrets Manager oder dem Systems Manager Parameter Store empfohlen. Ihre Elastic Beanstalk-Anwendung erhält nicht automatisch aktualisierte Werte, wenn die Secret-Store-Daten aktualisiert oder rotiert werden. Elastic Beanstalk zieht zum Zeitpunkt des Instanz-Bootstrappings nur Geheimnisse in die Umgebungsvariablen.

Aktualisieren Sie Ihre Umgebungsvariablen

Damit Ihre Elastic Beanstalk-Umgebung die neuesten Werte der Secrets aus ihren geheimen Speichern erneut abruft, empfehlen wir, entweder den Vorgang oder auszuführen. UpdateEnvironment RestartAppServer Sie können diese Operationen mit der Elastic Beanstalk-Konsole, der oder der Elastic Beanstalk-API AWS CLI ausführen. Weitere Informationen finden Sie in den AWS CLI Beispielen für Elastic Beanstalk oder in der API-Referenz. AWS Elastic Beanstalk

Verwaltung der Autoscaling-Effekte bei geheimer Synchronisation

Wenn nach der Aktualisierung des Secret Stores ein Scale-Out-Ereignis oder eine Instanzersetzung auftritt, enthält die neue Instanz, die erscheint, die neuesten geheimen Werte aus Secrets Manager oder Systems Manager Parameter Store. Ein solches Ereignis kann auch dann eintreten, wenn nicht alle anderen Instanzen in der Umgebung aktualisiert wurden, um die neuen Secrets abzurufen.

Ein Beispiel für einen solchen Anwendungsfall ist eine Rotation der Datenbankanmeldeinformationen. Wenn auf die Rotation der Anmeldeinformationen ein Scale-Out-Ereignis folgt, enthalten die Umgebungsgeheimnisse, auf die die neu gestarteten Instanzen verweisen, die aktualisierten Datenbankanmeldeinformationen. Die Umgebungsgeheimnisse, auf die von den vorhandenen Instanzen verwiesen wird, behalten jedoch den alten Wert bei, bis sie durch die OR-Operationen aktualisiert werden. UpdateEnvironment RestartAppServer

Mehrzeilige Werte in Amazon Linux 2-Umgebungsvariablen

Mehrzeilige Werte bestehen aus mehr als einer Zeile und enthalten ein Zeichen für den Zeilenumbruch. Mit Ausnahme von Docker- und ECS-based Docker-Plattformen unterstützen Plattformen, die unter Amazon Linux 2 ausgeführt werden, keine mehrzeiligen Werte für Umgebungsvariablen

Die folgenden Optionen können als Problemumgehung oder Lösung für das mehrzeilige Problem dienen: