Кстати, рекомендую не сильно увлекаться переменными окружения. Это может привести к неожиданным результатам, если код передается кому-то, и этот кто-то запускает его через сабшелл, например из cron'a и т.д. Потом замучаешься саппортить свои творения.
Я бы рекомендовал использовать вместо этого старый добрый configparser, а ini-файл, хорошо задокументированный, но с незаданными бизнес-критичными параметрами (логины, пароли, токены) поставлять вместе с кодом.
Тогда в деплой джобе файл можно легко редактировать хоть оркестраторами (puppet, ansible), хоть runner'ами, хоть деплой-серверами. А продуктом могут пользоваться все