Recupero di segreti e parametri nelle variabili di ambiente Elastic Beanstalk

Elastic Beanstalk può recuperare valori da AWS Secrets Manager e AWS Systems Manager Parameter Store durante il bootstrap dell'istanza e assegnarli alle variabili di ambiente da utilizzare dall'applicazione.

I seguenti punti riassumono la configurazione, la sincronizzazione e l'accesso per l'utilizzo delle variabili di ambiente come segreti:

Versioni delle piattaforma supportate

Le versioni della piattaforma rilasciate il 26 marzo 2025 o successivamente supportano AWS Secrets Manager i segreti e i parametri di AWS Systems Manager Parameter Store configurati come variabili di ambiente.

Prezzi

Si applicano le tariffe standard per l'utilizzo di Secrets Manager e Systems Manager Parameter Store. Per ulteriori informazioni sui prezzi, consulta i seguenti siti Web:

Elastic Beanstalk non addebita alcun costo all'applicazione per fare riferimento ai segreti dell'ambiente tramite variabili di ambiente. Tuttavia, le tariffe standard si applicano alle richieste che Elastic Beanstalk effettua a questi servizi per conto dell'utente.

Configura i segreti come variabili di ambiente Elastic Beanstalk

Puoi utilizzare la console Elastic Beanstalk, i file di configurazione in.ebextensions, la AWS CLI e l' AWS SDK per configurare segreti e parametri come variabili di ambiente.

Prerequisiti

Prima di poter configurare le variabili di ambiente in modo che facciano riferimento ai segreti, devi prima completare i seguenti passaggi.

Utilizzo della console

Puoi utilizzare la console Elastic Beanstalk per configurare i segreti come variabili di ambiente.

Configurazione tramite file in .ebextensions

È possibile utilizzare i file di configurazione di Elastic Beanstalk per configurare i segreti come variabili di ambiente. Usa il aws: elasticbeanstalk: applicazione: segreti dell'ambiente namespace per definire le proprietà dell'ambiente.

option_settings:
  aws:elasticbeanstalk:application:environmentsecrets:
    MY_SECRET: arn:aws:secretsmanager:us-east-1:111122223333:secret:mysecret-AbCd12
    MY_PARAMETER: arn:aws:ssm:us-east-1:111122223333:parameter/myparam
        

option_settings:
  - namespace: aws:elasticbeanstalk:application:environmentsecrets
    option_name: MY_SECRET
    value: arn:aws:secretsmanager:us-east-1:111122223333:secret:mysecret-AbCd12
  - namespace: aws:elasticbeanstalk:application:environmentsecrets
    option_name: MY_PARAMETER
    value: arn:aws:ssm:us-east-1:111122223333:parameter/myparam

Configurazione utilizzando AWS CLI

È possibile utilizzare l'interfaccia a riga di AWS comando (AWS CLI) per configurare i segreti come variabili di ambiente Elastic Beanstalk. Questa sezione fornisce esempi dei comandi create-environment e https://docs.aws.amazon.com/cli/latest/reference/elasticbeanstalk/update-environment.html update-environment con il namespace. aws: elasticbeanstalk: applicazione: segreti dell'ambiente Quando Elastic Beanstalk avvia le istanze EC2 per gli ambienti a cui fanno riferimento questi comandi, inizializza le variabili di ambiente con il segreto recuperato e i valori dei parametri. Recupera questi valori dai rispettivi ARN di Secrets Manager e Systems Manager Parameter Store.

I due esempi seguenti utilizzano il comando create-environment per aggiungere un segreto e un parametro, configurati come variabili di ambiente denominate e. MY_SECRET MY_PARAMETER

aws elasticbeanstalk create-environment \
--region us-east-1 \
--application-name my-app \
--environment-name my-env \
--platform-arn "arn:aws:elasticbeanstalk:::platform/Node.js 24 running on 64bit Amazon Linux 2023" \
--option-settings \
Namespace=aws:autoscaling:launchconfiguration,OptionName=IamInstanceProfile,Value=aws-elasticbeanstalk-ec2-role \
Namespace=aws:elasticbeanstalk:application:environmentsecrets,OptionName=MY_SECRET,Value=arn:aws:secretsmanager:us-east-1:111122223333:secret:mysecret-AbCd12 \
Namespace=aws:elasticbeanstalk:application:environmentsecrets,OptionName=MY_PARAMETER,Value=arn:aws:ssm:us-east-1:111122223333:parameter/myparam 

In alternativa, utilizza un file options.json per specificare le opzioni dello spazio dei nomi invece di includerle in riga.

aws elasticbeanstalk create-environment \
--region us-east-1 \
--application-name my-app \
--environment-name my-env \
--platform-arn "arn:aws:elasticbeanstalk:::platform/Node.js 24 running on 64bit Amazon Linux 2023" \
--option-settings file://options.json

### example options.json ###
[
  {
    "Namespace": "aws:autoscaling:launchconfiguration",
    "OptionName": "IamInstanceProfile",
    "Value": "aws-elasticbeanstalk-ec2-role"
  },
  {
    "Namespace": "aws:elasticbeanstalk:application:environmentsecrets",
    "OptionName": "MY_SECRET",
    "Value": "arn:aws:secretsmanager:us-east-1:111122223333:secret:mysecret-AbCd12"
  },
  {
    "Namespace": "aws:elasticbeanstalk:application:environmentsecrets",
    "OptionName": "MY_PARAMETER",
    "Value": "arn:aws:ssm:us-east-1:111122223333:parameter/myparam"
  }
]

L'esempio successivo configura le variabili di ambiente, denominate MY_SECRET eMY_PARAMETER, per memorizzare un segreto e un parametro per un ambiente esistente. Il comando update-environment passa le opzioni con la stessa sintassi del create-environment comando, in linea o con un file. options.json L'esempio seguente dimostra che il comando utilizza lo stesso options.json file utilizzato anche nell'esempio precedente.

aws elasticbeanstalk update-environment \
--region us-east-1 \
--application-name my-app \
--environment-name my-env \
--platform-arn "arn:aws:elasticbeanstalk:::platform/Node.js 24 running on 64bit Amazon Linux 2023" \
--option-settings file://options.json

Configurazione utilizzando AWS SDK

Puoi configurare segreti e parametri come variabili di ambiente utilizzando gli AWS SDK. Analogamente ai create-environment AWS CLI comandi update-environment e menzionati nella sezione precedente, puoi utilizzare le azioni CreateEnvironment e UpdateEnvironment API. Utilizzate il parametro OptionSettings request per specificare le opzioni del aws: elasticbeanstalk: applicazione: segreti dell'ambiente namespace.

Estrazione delle chiavi JSON dai segreti di Secrets Manager

Le versioni della piattaforma rilasciate a partire dal 13 gennaio 2026 supportano l'estrazione di campi specifici dai JSON-formatted segreti di Secrets Manager aggiungendo i due punti e il nome della chiave JSON all'ARN segreto. Ciò consente di fare riferimento a singole coppie chiave-valore all'interno di un segreto anziché all'intero segreto.

Sintassi

Per estrarre una chiave JSON specifica da un segreto, aggiungila :json-key-name all'ARN segreto:

arn:aws:secretsmanager:region:account:secret:secret-name-XXXXXX:json-key-name

L'estrazione delle chiavi JSON può essere configurata utilizzando gli stessi metodi dei normali segreti ambientali: console, file di configurazione in.ebextensions, AWS CLI o SDK. AWS

Limitazioni

Esempio

L'esempio seguente dimostra come diversi tipi di valore vengono estratti da un segreto JSON. Dato questo segreto:

{
  "stringKey": "value1",
  "numberKey": 42,
  "objectKey": {
    "nested": "data"
  },
  "arrayKey": ["item1", "item2"]
}

Puoi configurare l'estrazione in.ebextensions:

option_settings:
  aws:elasticbeanstalk:application:environmentsecrets:
    STRING_VAR: arn:aws:secretsmanager:us-east-1:111122223333:secret:mysecret-AbCd12:stringKey
    NUMBER_VAR: arn:aws:secretsmanager:us-east-1:111122223333:secret:mysecret-AbCd12:numberKey
    OBJECT_VAR: arn:aws:secretsmanager:us-east-1:111122223333:secret:mysecret-AbCd12:objectKey
    ARRAY_VAR: arn:aws:secretsmanager:us-east-1:111122223333:secret:mysecret-AbCd12:arrayKey

Ciò comporta le seguenti variabili di ambiente:

Le migliori pratiche per la sincronizzazione dei segreti con le variabili di ambiente Elastic Beanstalk

Questo argomento consiglia le migliori pratiche per l'applicazione per utilizzare i segreti di ambiente con Secrets Manager o Systems Manager Parameter Store. L'applicazione Elastic Beanstalk non riceverà automaticamente valori aggiornati se i dati dell'archivio segreto vengono aggiornati o ruotati. Elastic Beanstalk inserisce i segreti nelle variabili di ambiente solo al momento del bootstrap dell'istanza.

Aggiornamento delle variabili di ambiente

Per far sì che l'ambiente Elastic Beanstalk recuperi i valori più recenti dei segreti dai relativi archivi segreti, ti consigliamo di eseguire l'operazione or. UpdateEnvironment RestartAppServer Puoi eseguire queste operazioni utilizzando la console Elastic Beanstalk, l'API Elastic Beanstalk o Elastic Beanstalk. AWS CLI Per ulteriori informazioni, consulta gli AWS CLI esempi per Elastic Beanstalk o l'API Reference . AWS Elastic Beanstalk

Gestione degli effetti di ridimensionamento automatico sulla sincronizzazione segreta

Se si verifica un evento di scalabilità orizzontale o una sostituzione dell'istanza dopo gli aggiornamenti dell'archivio segreto, la nuova istanza che viene visualizzata conterrà i valori segreti più recenti di Secrets Manager o Systems Manager Parameter Store. Tale evento può verificarsi anche se non tutte le altre istanze nell'ambiente sono state aggiornate per recuperare i nuovi segreti.

Un esempio di questo caso d'uso è la rotazione delle credenziali del database. Quando un evento di scalabilità orizzontale segue la rotazione delle credenziali, i segreti di ambiente a cui fanno riferimento le istanze appena avviate contengono le credenziali del database aggiornate. Tuttavia, i segreti di ambiente a cui fanno riferimento le istanze esistenti mantengono il vecchio valore fino a quando non vengono aggiornati dalle operazioni or. UpdateEnvironment RestartAppServer

Valori multilinea nelle variabili di ambiente Amazon Linux 2

I valori multilinea sono composti da più di una riga e includono un carattere di nuova riga. Ad eccezione delle piattaforme Docker e ECS-based Docker, le piattaforme eseguite su Amazon Linux 2 non supportano valori multilinea per le variabili di ambiente

Le seguenti opzioni possono servire come soluzioni alternative o soluzioni al problema multilinea: