Verwenden von dynamischen Referenzen zum Angeben von Vorlagenwerten

Dynamische Verweise bieten eine kompakte und leistungsstarke Möglichkeit, externe Werte anzugeben, die in anderen Diensten gespeichert und verwaltet werden, z. B. im Systems Manager Manager-Parameterspeicher und AWS Secrets Manager in Ihren Stack-Vorlagen. Wenn Sie eine dynamische Referenz verwenden, CloudFormation ruft sie den Wert der angegebenen Referenz ab, falls dies bei Stack- und Change-Set-Vorgängen erforderlich ist.

CloudFormation unterstützt derzeit die folgenden dynamischen Referenzmuster:

Einige Hinweise zur Verwendung dynamischer Referenzen

Im Folgenden finden Sie Hinweise, die Sie bei der Verwendung dynamischer Referenzen berücksichtigen sollten:

Angeben dynamischer Referenzen in Stack-Vorlagen

Dynamische Referenzen unterliegen dem folgenden Muster:

'{{resolve:service-name:reference-key}}' oder '{{resolve:ssm:[a-zA-Z0-9_.\-/]+(:\d+)?}}'.

SSM-Parameter

Verwenden Sie die dynamische ssm-Referenz, um Werte vom Typ String oder StringList aus dem Systems Manager Parameter Store in Ihre Vorlagen aufzunehmen.

Referenzmuster

Bei SSM-Parametern besteht das reference-key-Segment aus dem Parameternamen und der Versionsnummer. Verwenden Sie das folgende Muster:

'{{resolve:ssm:parameter-name:version}}'

Ihre Referenz muss sich an das folgende reguläre Ausdrucksmuster für Parametername und Version halten:

'{{resolve:ssm:[a-zA-Z0-9_.-/]+:\\d+}}'

Beispiel

Das folgende Beispiel verwendet eine dynamische ssm-Referenz, um die Zugriffssteuerung für einen S3-Bucket auf einen im Systems Manager Parameter Store gespeicherten Parameterwert festzulegen. Wie angegeben, CloudFormation wird Version 2 des S3AccessControl Parameters für Stack- und Change-Set-Operationen verwendet.

  "MyS3Bucket": {
    "Type": "AWS::S3::Bucket",
    "Properties": {
      "AccessControl": "{{resolve:ssm:S3AccessControl:2}}"
    }
  }

  MyS3Bucket:
    Type: 'AWS::S3::Bucket'
    Properties:
      AccessControl: '{{resolve:ssm:S3AccessControl:2}}' 

Um einen im Systems Manager-Parameter Store gespeicherten Parameter anzugeben, müssen Sie über den Zugriff verfügen, um GetParameters für den angegebenen Parameter aufzurufen. Weitere Informationen finden Sie unter Steuerung des Zugriffs auf die Systems-Manager-Parameter im Benutzerhandbuch für AWS Systems Manager .

Zusätzliche Überlegungen, die bei der Verwendung des dynamischen ssm-Referenzmusters zu beachten sind:

SSM-Sicherer String-Parameter

Verwenden Sie das ssm-secure dynamische Referenzmuster, um AWS Systems Manager SecureString Typparameter in Ihren Vorlagen anzugeben. Speichert bei ssm-secure dynamischen Referenzen AWS CloudFormation niemals den tatsächlichen Parameterwert. AWS CloudFormation greift bei Erstellungs- und Aktualisierungsvorgängen für Stapel und Änderungssätze auf den Parameterwert zu. Derzeit können sicheren String-Parameter nur für Ressourceneigenschaften verwendet werden, die das dynamische ssm-secure-Referenzmuster unterstützen.

sicheren String-Parameter sind alle sensiblen Daten, die sicher gespeichert und referenziert werden müssen. Das heißt, Daten, die Benutzer nicht im Klartext ändern oder referenzieren sollen, wie z. B. Passwörter oder Lizenzschlüssel. Weitere Informationen zu sicheren Zeichenfolgen finden Sie unter Verwenden von sicheren Zeichenfolgen-Parametern im Benutzerhandbuch für AWS Systems Manager .

Werte für sichere Zeichenkettenparameter werden weder in CloudFormation API-Aufrufergebnissen gespeichert noch in API-Aufrufergebnissen zurückgegeben.

Referenzmuster

Bei dynamischen ssm-secure-Referenzen besteht das Segment reference-key aus dem Parameternamen und der Versionsnummer. Verwenden Sie das folgende Muster:

'{{resolve:ssm-secure:parameter-name:version}}'

Ihre Referenz muss sich an das folgende reguläre Ausdrucksmuster für Parametername und Version halten:

'{{resolve:ssm-secure:[a-zA-Z0-9_.-/]+:\\d+}}'

Beispiel

Das folgende Beispiel verwendet eine dynamische ssm-secure-Referenz, um das Passwort für einen IAM-Benutzer auf eine sichere Zeichenfolge festzulegen, die im Systems Manager Parameter Store gespeichert ist. Wie angegeben, CloudFormation wird Version 10 des IAMUserPassword Parameters für Stack- und Change-Set-Operationen verwendet.

  "MyIAMUser": {
    "Type": "AWS::IAM::User",
    "Properties": {
      "UserName": "MyUserName",
      "LoginProfile": {
        "Password": "{{resolve:ssm-secure:IAMUserPassword:10}}"
      }
    }
  }

  MyIAMUser:
    Type: AWS::IAM::User
    Properties:
      UserName: 'MyUserName'
      LoginProfile:
        Password: '{{resolve:ssm-secure:IAMUserPassword:10}}'

Zusätzliche Überlegungen, die bei der Verwendung des dynamischen ssm-secure-Referenzmusters zu beachten sind:

Ressourcen, die dynamische Parametermuster für sichere Zeichenfolgen unterstützen

Zu den Ressourcen, die das dynamische ssm-secure-Referenzmuster unterstützen, gehören derzeit:

Secrets Manager-Secrets

Verwenden Sie die dynamische secretsmanager-Referenz, um ganze Geheimnisse oder Geheimnis-Werte, die in Secrets Manager gespeichert sind, für die Verwendung in Ihren Vorlagen abzurufen. Bei den Geheimnissen kann es sich um Datenbank-Anmeldeinformationen, Passwörter, API-Schlüssel von Drittanbietern oder beliebigen Text handeln. Mit Secrets Manager können Sie den Zugriff auf diese Geheimnisse zentral speichern und steuern, sodass Sie hartcodierte Anmeldeinformationen in Ihrem Code (einschließlich Passwörtern) durch einen API-Aufruf an Secrets Manager ersetzen können, um das Geheimnis programmgesteuert abzurufen. Weitere Informationen finden Sie unter Was ist AWS Secrets Manager? im AWS Secrets Manager Benutzerhandbuch.

Wichtige Hinweise bei der Verwendung dynamischer Referenzen für Secrets-Manager-Geheimnisse

Sie sollten die folgenden wichtigen Sicherheitshinweise berücksichtigen, wenn Sie dynamische Referenzen verwenden, um Secrets-Manager-Geheimnisse in Ihren Stack-Vorlagen anzugeben:

Erforderliche Berechtigungen

Um ein in Secrets Manager gespeichertes Geheimnis anzugeben, müssen Sie Zugriff auf den GetSecretValue-Aufruf für das Geheimnis haben.

Referenzmuster

Für Secrets Manager-Secrets besteht das reference-key-Segment aus mehreren Segmenten, darunter die Secret ID, der Secret Value Key, die Versionsstufe und die Versions ID. Verwenden Sie das folgende Muster:

{{resolve:secretsmanager:secret-id:secret-string:json-key:version-stage:version-id}}

Beispiele

Das folgende Beispiel verwendet die Segmente secret-name und json-key, um die im MyRDSSecret Secret gespeicherten Werte für Benutzername und Passwort abzurufen. Standardmäßig ist die abgerufene Secret-Version die Version mit dem Versionsstufenwert AWSCURRENT.

{
    "MyRDSInstance": {
        "Type": "AWS::RDS::DBInstance",
        "Properties": {
            "DBName": "MyRDSInstance",
            "AllocatedStorage": "20",
            "DBInstanceClass": "db.t2.micro",
            "Engine": "mysql",
            "MasterUsername": "{{resolve:secretsmanager:MyRDSSecret:SecretString:username}}",
            "MasterUserPassword": "{{resolve:secretsmanager:MyRDSSecret:SecretString:password}}"
        }
    }
}

  MyRDSInstance:
    Type: 'AWS::RDS::DBInstance'
    Properties:
      DBName: MyRDSInstance
      AllocatedStorage: '20'
      DBInstanceClass: db.t2.micro
      Engine: mysql
      MasterUsername: '{{resolve:secretsmanager:MyRDSSecret:SecretString:username}}'
      MasterUserPassword: '{{resolve:secretsmanager:MyRDSSecret:SecretString:password}}'

Wenn Sie die folgenden Segmente angeben, wird das SecretString für MySecret abgerufen.

'{{resolve:secretsmanager:MySecret}}' oder '{{resolve:secretsmanager:MySecret::::}}'

Durch die Angabe der folgenden Segmente würde der password Wert für abgerufen MySecret.

'{{resolve:secretsmanager:MySecret:SecretString:password}}'

Durch die Angabe der folgenden Segmente würde der Wert SecretString abgerufen MySecret , der sich in einem anderen AWS Konto befindet. Sie müssen den vollständigen geheimen ARN angeben, um auf Geheimnisse in einem anderen AWS Konto zugreifen zu können.

'{{resolve:secretsmanager:arn:aws:secretsmanager:us-west-2:123456789012:secret:MySecret-a1b2c3}}'

Wenn Sie die folgenden Segmente angeben, würde der password Wert abgerufen MySecret , der sich in einem anderen AWS Konto befindet. Sie müssen den vollständigen geheimen ARN angeben, um auf Geheimnisse in einem anderen AWS Konto zugreifen zu können.

'{{resolve:secretsmanager:arn:aws:secretsmanager:us-west-2:123456789012:secret:MySecret-a1b2c3:SecretString:password}}'

Wenn Sie die folgenden Segmente angeben, würde der password Wert für die AWSPREVIOUS Version von abgerufen MySecret.

'{{resolve:secretsmanager:MySecret:SecretString:password:AWSPREVIOUS}}'