Verwenden Sie AWS Secrets Manager Geheimnisse in AWS Lambda Funktionen

So verwenden Sie die Lambda-Erweiterung AWS Parameters and Secrets

1. Fügen Sie Ihrer Funktion die AWS Ebene mit dem Namen AWS Parameters and Secrets Lambda Extension hinzu. Anweisungen finden Sie unter Hinzufügen von Ebenen zu Funktionen im Lambda Developer Guide. Wenn Sie den AWS CLI zum Hinzufügen der Ebene verwenden, benötigen Sie die ARN der Erweiterung. Eine Liste der ARNs Lambda Extension finden Sie unter AWS Parameters and Secrets Lambda Extension ARNs im AWS Systems Manager Benutzerhandbuch.

2. Erteilen Sie der Lambda-Ausführungsrolle Berechtigungen, um auf Secrets zugreifen zu können:

   • secretsmanager:GetSecretValue-Berechtigung für das Secret. Siehe Beispiel: Berechtigung zum Abrufen von einzelnen Secret-Werten.

   • (Optional) Wenn das Geheimnis mit einem vom Kunden verwalteten Schlüssel statt mit dem verschlüsselt wird Von AWS verwalteter Schlüssel aws/secretsmanager, benötigt die Ausführungsrolle auch die kms:Decrypt Erlaubnis für den KMS Schlüssel.

   • Sie können die attributebasierte Zugriffskontrolle (ABAC) mit der Lambda-Rolle verwenden, um einen detaillierteren Zugriff auf Geheimnisse im Konto zu ermöglichen. Weitere Informationen finden Sie unter Steuern Sie den Zugriff auf Geheimnisse mithilfe der attributbasierten Zugriffskontrolle () ABAC .

3. Konfigurieren Sie den Cache mit Lambda-Umgebungsvariablen.

4. Um Secrets aus dem Erweiterungs-Cache abzurufen, müssen Sie zuerst das X-AWS-Parameters-Secrets-Token zum Anforderungs-Header hinzufügen. Setzen Sie das Token auf AWS_SESSION_TOKEN, das von Lambda für alle laufenden Funktionen bereitgestellt wird. Die Verwendung dieses Headers zeigt an, dass sich der Anrufer in der Lambda-Umgebung befindet.

   Das folgende Python-Beispiel zeigt, wie Sie den Header hinzufügen.

   import os
   headers = {"X-Aws-Parameters-Secrets-Token": os.environ.get('AWS_SESSION_TOKEN')}

5. Verwenden Sie eine der folgenden HTTP GET Anfragen, um ein Geheimnis innerhalb der Lambda-Funktion abzurufen:

   • Um ein Geheimnis für abzurufensecretId, verwenden Sie den Namen ARN oder des Geheimnisses.

     GET: /secretsmanager/get?secretId=secretId

   • Um den vorherigen geheimen Wert oder eine bestimmte Version anhand des Staging-Labels abzurufensecretId, verwenden Sie für den ARN oder den Namen des Geheimnisses und für versionStage das Staging-Label.

     GET: /secretsmanager/get?secretId=secretId&versionStage=AWSPREVIOUS

   • Um eine bestimmte geheime Version anhand der ID abzurufensecretId, verwenden Sie für den ARN oder den Namen des Geheimnisses und für versionId die Version die Versions-ID.

     GET: /secretsmanager/get?secretId=secretId&versionId=versionId

   Beispiel Secret abrufen (Python)

   Das folgende Python-Beispiel zeigt, wie Sie ein Secret abrufen und das Ergebnis mit json.loads analysieren.

   secrets_extension_endpoint = "http://localhost:" + \
       secrets_extension_http_port + \
       "/secretsmanager/get?secretId=" + \
       <secret_name>
     
     r = requests.get(secrets_extension_endpoint, headers=headers)
     
     secret = json.loads(r.text)["SecretString"] # load the Secrets Manager response into a Python dictionary, access the secret