Résoudre les problèmes de rotation AWS Secrets Manager

Pour consulter les CloudWatch journaux de votre fonction Lambda

1. Ouvrez la console Secrets Manager à l'adresse https://console.aws.amazon.com/secretsmanager/.

2. Choisissez votre secret, puis sur la page des détails, sous Rotation configuration (Configuration de la rotation), choisissez la fonction de rotation Lambda. La console Lambda s'ouvre.

3. Dans l'onglet Surveiller, sélectionnez Journaux, puis Afficher les connexions CloudWatch.

   La CloudWatch console s'ouvre et affiche les journaux de votre fonction.

Pour rechercher quelles fonctions de rotation Lambda utilisent Python 3.7

1. Connectez-vous à la AWS Lambda console AWS Management Console et ouvrez-la à l'adresse https://console.aws.amazon.com/lambda/.

2. Dans la liste des fonctions, filtrez pour SecretsManager.

3. Dans la liste filtrée des fonctions, sous Exécution, recherchez Python 3.7.

Pour trouver la AWS CloudFormation pile qui a créé la fonction de rotation

• Dans la page des détails de la fonction Lambda, sous l'onglet Configuration, choisissez Balises. Consultez la section ARN suivante : aws:cloudformation:stack-id.

  Le nom de la pile est intégré dans leARN, comme indiqué dans l'exemple suivant.

  • ARN: arn:aws:cloudformation:us-west-2:408736277230:stack/SecretsManagerRDSMySQLRotationSingleUser5c2-SecretRotationScheduleHostedRotationLambda-3CUDHZMDMBO8/79fc9050-2eef-11ed-80f0-021fb13c0537

  • Nom de la pile : SecretsManagerRDSMySQLRotationSingleUser5c2-SecretRotationScheduleHostedRotationLambda

Pour recréer une fonction de rotation (AWS CloudFormation)

1. Dans AWS CloudFormation, recherchez la pile par son nom, puis choisissez Mettre à jour.

   Si une boîte de dialogue vous recommande de mettre à jour la pile racine s'affiche, choisissez Accéder à la pile racine, puis choisissez Mettre à jour.

2. Sur la page Mettre à jour la pile, sous Préparer le modèle, choisissez Modifier dans Application Composer, puis sous Modifier le modèle dans Application Composer, cliquez sur le bouton Modifier dans Application Composer.

3. Dans Application Composer, procédez comme suit :

   1. Dans le code du modèle, dansSecretRotationScheduleHostedRotationLambda, remplacez la valeur pour "functionName": "SecretsManagerTestRotationRDS" par un nouveau nom de fonction, par exemple dansJSON, "functionName": "SecretsManagerTestRotationRDSupdated"

   2. Choisissez Mettre à jour le modèle.

   3. Dans la AWS CloudFormation boîte de dialogue Continuer à, choisissez Confirmer et passez à AWS CloudFormation.

4. Continuez à suivre le flux de travail de la AWS CloudFormation pile, puis choisissez Soumettre.

Pour trouver la AWS CloudFormation pile qui a créé la fonction de rotation

• Dans la page des détails de la fonction Lambda, sous l'onglet Configuration, choisissez Balises. Consultez la section ARN suivante : aws:cloudformation:stack-id.

  Le nom de la pile est intégré dans leARN, comme indiqué dans l'exemple suivant.

  • ARN: arn:aws:cloudformation:us-west-2:408736277230:stack/SecretsManagerRDSMySQLRotationSingleUser5c2-SecretRotationScheduleHostedRotationLambda-3CUDHZMDMBO8/79fc9050-2eef-11ed-80f0-021fb13c0537

  • Nom de la pile : SecretsManagerRDSMySQLRotationSingleUser5c2-SecretRotationScheduleHostedRotationLambda

Pour mettre à jour l'exécution d'une fonction de rotation (AWS CloudFormation)

1. Dans AWS CloudFormation, recherchez la pile par son nom, puis choisissez Mettre à jour.

   Si une boîte de dialogue vous recommande de mettre à jour la pile racine s'affiche, choisissez Accéder à la pile racine, puis choisissez Mettre à jour.

2. Sur la page Mettre à jour la pile, sous Préparer le modèle, choisissez Modifier dans Application Composer, puis sous Modifier le modèle dans Application Composer, cliquez sur le bouton Modifier dans Application Composer.

3. Dans Application Composer, procédez comme suit :

   1. Dans le modèleJSON, pour leSecretRotationScheduleHostedRotationLambda, sousProperties, sousParameters, ajouter"runtime": "python3.9".

   2. Choisissez Mettre à jour le modèle.

   3. Dans la AWS CloudFormation boîte de dialogue Continuer à, choisissez Confirmer et passez à AWS CloudFormation.

4. Continuez à suivre le flux de travail de la AWS CloudFormation pile, puis choisissez Soumettre.

Mettre à jour la fonction de rotation Lambda pour inclure RotationToken

1. Téléchargez le code de la fonction Lambda

   • Ouvrez la console Lambda

   • Dans le volet de navigation, sélectionnez Functions

   • Sélectionnez votre fonction de rotation secrète Lambda pour le nom de la fonction

   • Pour le téléchargement, choisissez l'une des options suivantes : code de fonction .zip, AWS SAM fichier, les deux

   • Cliquez sur OK pour enregistrer la fonction sur votre ordinateur local.

2. Modifier Lambda_handler

   Incluez le paramètre rotation_token dans l'étape create_secret pour la rotation entre comptes :

   
   def lambda_handler(event, context):
       """Secrets Manager Rotation Template
   
       This is a template for creating an AWS Secrets Manager rotation lambda
   
       Args:
           event (dict): Lambda dictionary of event parameters. These keys must include the following:
               - SecretId: The secret ARN or identifier
               - ClientRequestToken: The ClientRequestToken of the secret version
               - Step: The rotation step (one of createSecret, setSecret, testSecret, or finishSecret)
               - RotationToken: the rotation token to put as parameter for PutSecretValue call
   
           context (LambdaContext): The Lambda runtime information
   
       Raises:
           ResourceNotFoundException: If the secret with the specified arn and stage does not exist
   
           ValueError: If the secret is not properly configured for rotation
   
           KeyError: If the event parameters do not contain the expected keys
   
       """
       arn = event['SecretId']
       token = event['ClientRequestToken']
       step = event['Step']
       # Add the rotation token
       rotation_token = event['RotationToken']
   
       # Setup the client
       service_client = boto3.client('secretsmanager', endpoint_url=os.environ['SECRETS_MANAGER_ENDPOINT'])
   
       # Make sure the version is staged correctly
       metadata = service_client.describe_secret(SecretId=arn)
       if not metadata['RotationEnabled']:
           logger.error("Secret %s is not enabled for rotation" % arn)
           raise ValueError("Secret %s is not enabled for rotation" % arn)
       versions = metadata['VersionIdsToStages']
       if token not in versions:
           logger.error("Secret version %s has no stage for rotation of secret %s." % (token, arn))
           raise ValueError("Secret version %s has no stage for rotation of secret %s." % (token, arn))
       if "AWSCURRENT" in versions[token]:
           logger.info("Secret version %s already set as AWSCURRENT for secret %s." % (token, arn))
           return
       elif "AWSPENDING" not in versions[token]:
           logger.error("Secret version %s not set as AWSPENDING for rotation of secret %s." % (token, arn))
           raise ValueError("Secret version %s not set as AWSPENDING for rotation of secret %s." % (token, arn))
       # Use rotation_token
       if step == "createSecret":
           create_secret(service_client, arn, token, rotation_token)
   
       elif step == "setSecret":
           set_secret(service_client, arn, token)
       
       elif step == "testSecret":
           test_secret(service_client, arn, token)
           
       elif step == "finishSecret":
           finish_secret(service_client, arn, token)
           
       else:
           raise ValueError("Invalid step parameter")            
             

3. Modifier le create_secret code

   Révisez la create_secret fonction pour accepter et utiliser le rotation_token paramètre :

   
   # Add rotation_token to the function
   def create_secret(service_client, arn, token, rotation_token):
   """Create the secret
   
   This method first checks for the existence of a secret for the passed in token. If one does not exist, it will generate a
   new secret and put it with the passed in token.
   
   Args:
   service_client (client): The secrets manager service client
   
   arn (string): The secret ARN or other identifier
   
   token (string): The ClientRequestToken associated with the secret version
   
   rotation_token (string): the rotation token to put as parameter for PutSecretValue call
   
   Raises:
   ResourceNotFoundException: If the secret with the specified arn and stage does not exist
   
   """
   # Make sure the current secret exists
   service_client.get_secret_value(SecretId=arn, VersionStage="AWSCURRENT")
   
   # Now try to get the secret version, if that fails, put a new secret
   try:
   service_client.get_secret_value(SecretId=arn, VersionId=token, VersionStage="AWSPENDING")
   logger.info("createSecret: Successfully retrieved secret for %s." % arn)
   except service_client.exceptions.ResourceNotFoundException:
   # Get exclude characters from environment variable
   exclude_characters = os.environ['EXCLUDE_CHARACTERS'] if 'EXCLUDE_CHARACTERS' in os.environ else '/@"\'\\'
   # Generate a random password
   passwd = service_client.get_random_password(ExcludeCharacters=exclude_characters)
   
   # Put the secret, using rotation_token
   service_client.put_secret_value(SecretId=arn, ClientRequestToken=token, SecretString=passwd['RandomPassword'], VersionStages=['AWSPENDING'], RotationToken=rotation_token)
   logger.info("createSecret: Successfully put secret for ARN %s and version %s." % (arn, token))
             

4. Téléchargez le code de fonction Lambda mis à jour

   Après avoir mis à jour le code de votre fonction Lambda, téléchargez-le pour faire pivoter votre secret.