Utilisation de références dynamiques pour spécifier les valeurs de modèle

Les références dynamiques constituent un moyen compact et puissant de spécifier des valeurs externes qui sont stockées et gérées dans d'autres services, tels que le magasin de paramètres Systems Manager et AWS Secrets Manager dans vos modèles de pile. Lorsque vous utilisez une référence dynamique, CloudFormation récupère la valeur de la référence spécifiée lorsque cela est nécessaire pendant les opérations de pile et de modification des ensembles.

CloudFormation prend actuellement en charge les modèles de référence dynamiques suivants :

Considérations à prendre en compte lors de l'utilisation de références dynamiques

Vous trouverez ci-dessous les points à prendre en compte lors de l'utilisation de références dynamiques :

Spécification de références dynamiques dans les modèles de pile

Les références dynamiques respectent le modèle suivant :

'{{resolve:service-name:reference-key}}' ou '{{resolve:ssm:[a-zA-Z0-9_.\-/]+(:\d+)?}}'.

Paramètres SSM

Utilisez la référence dynamique ssm pour inclure les valeurs stockées dans Systems Manager Parameter Store et de type String ou StringList dans vos modèles.

Modèle de référence

Pour les paramètres SSM, le segment reference-key se compose du nom du paramètre et du numéro de version. Utilisez le modèle suivant :

'{{resolve:ssm:parameter-name:version}}'

Votre référence doit respecter le modèle d'expression régulière suivant pour parameter-name et version :

'{{resolve:ssm:[a-zA-Z0-9_.-/]+:\\d+}}'

Exemple

L'exemple suivant utilise une référence dynamique ssm pour définir le contrôle d'accès pour un compartiment S3 sur une valeur de paramètre stockée dans Systems Manager Parameter Store. Comme indiqué, CloudFormation utilisera la version 2 du S3AccessControl paramètre pour les opérations de pile et de modification des ensembles.

  "MyS3Bucket": {
    "Type": "AWS::S3::Bucket",
    "Properties": {
      "AccessControl": "{{resolve:ssm:S3AccessControl:2}}"
    }
  }

  MyS3Bucket:
    Type: 'AWS::S3::Bucket'
    Properties:
      AccessControl: '{{resolve:ssm:S3AccessControl:2}}' 

Pour spécifier un paramètre stocké dans Systems Manager Parameter Store, vous devez disposer d'un accès permettant d'appeler GetParameters pour le paramètre spécifié. Pour plus d'informations, veuillez consulter la rubrique Contrôle de l'accès aux paramètres Systems Manager dans le Guide de l'utilisateur AWS Systems Manager .

Autres considérations à noter lorsque vous utilisez le modèle de référence dynamique ssm :

Paramètres de chaîne sécurisée SSM

Utilisez le modèle de référence ssm-secure dynamique pour spécifier les paramètres AWS Systems Manager SecureString de type dans vos modèles. Pour les références ssm-secure dynamiques, AWS CloudFormation ne stocke jamais la valeur réelle du paramètre. AWS CloudFormation accède à la valeur du paramètre lors des opérations de création et de mise à jour pour les piles et les ensembles de modifications. Actuellement, les paramètres de chaîne sécurisée ne peuvent être utilisés que pour les propriétés de ressource qui prennent en charge le modèle de référence dynamique ssm-secure.

Un paramètre de chaîne sécurisée correspond à des données sensibles qui doivent être stockées et référencées de manière sécurisée. En d'autres termes, des données que vous ne voulez pas que les utilisateurs modifient ou référencent en texte clair, telles que des mots de passe ou des clés de licence. Pour plus d'informations sur les chaînes sécurisées, veuillez consulter la rubrique Utilisation de paramètres de chaîne sécurisée dans le Guide de l'utilisateur AWS Systems Manager .

Les valeurs des paramètres de chaîne sécurisée ne sont pas stockées CloudFormation et ne sont renvoyées dans aucun résultat d'appel d'API.

Modèle de référence

Pour les références dynamiques ssm-secure, le segment reference-key se compose du nom du paramètre et du numéro de version. Utilisez le modèle suivant :

'{{resolve:ssm-secure:parameter-name:version}}'

Votre référence doit respecter le modèle d'expression régulière suivant pour parameter-name et version :

'{{resolve:ssm-secure:[a-zA-Z0-9_.-/]+:\\d+}}'

Exemple

L'exemple suivant utilise une référence dynamique ssm-secure pour définir le mot de passe d'un utilisateur IAM vers une valeur sécurisée stockée dans Systems Manager Parameter Store. Comme indiqué, CloudFormation utilisera la version 10 du IAMUserPassword paramètre pour les opérations de pile et de modification des ensembles.

  "MyIAMUser": {
    "Type": "AWS::IAM::User",
    "Properties": {
      "UserName": "MyUserName",
      "LoginProfile": {
        "Password": "{{resolve:ssm-secure:IAMUserPassword:10}}"
      }
    }
  }

  MyIAMUser:
    Type: AWS::IAM::User
    Properties:
      UserName: 'MyUserName'
      LoginProfile:
        Password: '{{resolve:ssm-secure:IAMUserPassword:10}}'

Autres considérations à noter lorsque vous utilisez le modèle de référence dynamique ssm-secure :

Ressources qui prennent en charge les modèles de paramètre dynamique pour les chaînes sécurisées

Les ressources qui prennent en charge le modèle de référence dynamique ssm-secure incluent actuellement :

Secrets de Secrets Manager

La référence dynamique secretsmanager vous permet d'extraire des secrets entiers ou des valeurs de secrets stockés dans Secrets Manager en vue d'une utilisation dans vos modèles. Les secrets peuvent être des informations d'identification de base de données, des mots de passe, des clés d'API tierces ou un texte arbitraire. Secrets Manager vous permet de stocker et de contrôler l'accès à ces secrets de manière centralisée, de sorte que vous pouvez remplacer les informations d'identification codées en dur dans votre code (y compris les mots de passe) par un appel d'API à Secrets Manager pour récupérer le secret par programmation. Pour plus d'informations, voir Qu'est-ce que c'est AWS Secrets Manager ? dans le guide de AWS Secrets Manager l'utilisateur.

Considérations importantes lors de l'utilisation de références dynamiques pour les secrets de Secrets Manager

Vous devez tenir compte des considérations de sécurité importantes suivantes lorsque vous utilisez des références dynamiques pour spécifier des secrets Secrets Manager dans vos modèles de pile :

Autorisations nécessaires

Pour spécifier un secret stocké dans Secrets Manager, vous devez disposer d'un accès permettant d'appeler GetSecretValue pour le secret.

Modèle de référence

Pour les secrets Secrets Manager, le segment reference-key se compose de plusieurs segments, y compris de l'ID de secret, de la clé de valeur de secret, de l'étape de version et de l'ID de version. Utilisez le modèle suivant :

{{resolve:secretsmanager:secret-id:secret-string:json-key:version-stage:version-id}}

Exemples

L'exemple suivant utilise les segments secret-name et json-key pour récupérer les valeurs de nom d'utilisateur et de mot de passe stockées dans le secret MyRDSSecret. Par défaut, la version de secret récupérée est la version avec la valeur d'étape de version de AWSCURRENT.

{
    "MyRDSInstance": {
        "Type": "AWS::RDS::DBInstance",
        "Properties": {
            "DBName": "MyRDSInstance",
            "AllocatedStorage": "20",
            "DBInstanceClass": "db.t2.micro",
            "Engine": "mysql",
            "MasterUsername": "{{resolve:secretsmanager:MyRDSSecret:SecretString:username}}",
            "MasterUserPassword": "{{resolve:secretsmanager:MyRDSSecret:SecretString:password}}"
        }
    }
}

  MyRDSInstance:
    Type: 'AWS::RDS::DBInstance'
    Properties:
      DBName: MyRDSInstance
      AllocatedStorage: '20'
      DBInstanceClass: db.t2.micro
      Engine: mysql
      MasterUsername: '{{resolve:secretsmanager:MyRDSSecret:SecretString:username}}'
      MasterUserPassword: '{{resolve:secretsmanager:MyRDSSecret:SecretString:password}}'

La spécification des segments suivants permet de récupérer le SecretString for MySecret.

'{{resolve:secretsmanager:MySecret}}' ou '{{resolve:secretsmanager:MySecret::::}}'

La spécification des segments suivants permet de récupérer la password valeur de MySecret.

'{{resolve:secretsmanager:MySecret:SecretString:password}}'

La spécification des segments suivants permettrait de récupérer le SecretString pour MySecret qui se trouve dans un autre AWS compte. Vous devez spécifier l'ARN secret complet pour accéder aux secrets d'un autre AWS compte.

'{{resolve:secretsmanager:arn:aws:secretsmanager:us-west-2:123456789012:secret:MySecret-a1b2c3}}'

La spécification des segments suivants permet de récupérer la password valeur correspondant à MySecret ce qui se trouve dans un autre AWS compte. Vous devez spécifier l'ARN secret complet pour accéder aux secrets d'un autre AWS compte.

'{{resolve:secretsmanager:arn:aws:secretsmanager:us-west-2:123456789012:secret:MySecret-a1b2c3:SecretString:password}}'

La spécification des segments suivants permet de récupérer la password valeur de la AWSPREVIOUS version de MySecret.

'{{resolve:secretsmanager:MySecret:SecretString:password:AWSPREVIOUS}}'