Elastic Beanstalk でデプロイ時に機密環境変数を指定する方法 質問する

のAWSのドキュメントでは機密情報をS3に保存することを推奨している環境変数はさまざまな方法で公開される可能性があるためです。

環境プロパティを使用してアプリケーションに接続情報を提供することは、コードにパスワードが含まれないようにするための良い方法ですが、完璧な解決策ではありません。環境プロパティは、環境管理コンソールで検出でき、環境の構成設定を記述する権限を持つすべてのユーザーが表示できます。プラットフォームによっては、環境プロパティがインスタンス ログに表示されることもあります。

以下の例はドキュメントからの抜粋です。詳細についてはドキュメントを参照してください。簡単に言うと、次の操作が必要です。

1. 最小限の権限でファイルをS3にアップロードします。暗号化されている可能性がある。

2. Elastic Beanstalk 自動スケーリング グループのインスタンス プロファイルのロールに読み取りアクセスを許可します。ポリシーは次のようになります。

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "database",
               "Action": [
                   "s3:GetObject"
               ],
               "Effect": "Allow",
               "Resource": [
                   "arn:aws:s3:::my-secret-bucket-123456789012/beanstalk-database.json"
               ]
           }
       ]
   }
   

3. アプリケーション バンドルのルートに次のような名前のファイルを追加し、次の内容を含めs3-connection-info-file.configます。/.ebextensions

   Resources:
     AWSEBAutoScalingGroup:
       Metadata:
         AWS::CloudFormation::Authentication:
           S3Auth:
             type: "s3"
             buckets: ["my-secret-bucket-123456789012"]
             roleName: "aws-elasticbeanstalk-ec2-role"
   
   files:
     "/tmp/beanstalk-database.json" :
       mode: "000644"
       owner: root
       group: root
       authentication: "S3Auth"
       source: https://s3-us-west-2.amazonaws.com/my-secret-bucket-123456789012/beanstalk-database.json