Usa AWS Secrets Manager i segreti nelle AWS Lambda funzioni

Per utilizzare l'estensione Lambda AWS Parameters and Secrets

1. Aggiungi il AWS layer denominato AWS Parameters and Secrets Lambda Extension alla tua funzione. Per istruzioni, consulta Aggiungere livelli alle funzioni nella Lambda Developer Guide. Se usi il AWS CLI per aggiungere il layer, hai bisogno ARN dell'estensione. Per un elenco diARNs, consulta AWS Parameters and Secrets Lambda Extension ARNs nella Guida per l'AWS Systems Manager utente.

2. Concedi le autorizzazioni al ruolo di esecuzione di Lambda per poter accedere ai segreti:

   • Autorizzazione secretsmanager:GetSecretValue per il segreto. Per informazioni, consulta Esempio: Autorizzazione per recuperare valori segreti individuali.

   • (Facoltativo) Se il segreto è crittografato con una chiave gestita dal cliente anziché con Chiave gestita da AWS aws/secretsmanager, anche il ruolo di esecuzione necessita dell'kms:Decryptautorizzazione per la KMS chiave.

   • Puoi utilizzare Attribute Based Access Control (ABAC) con il ruolo Lambda per consentire un accesso più granulare ai segreti nell'account. Per ulteriori informazioni, consulta Controlla l'accesso ai segreti utilizzando il controllo degli accessi basato sugli attributi () ABAC .

3. Configura la cache con le variabili di ambiente di Lambda.

4. Per recuperare i segreti dalla cache delle estensioni, innanzitutto è necessario aggiungere il parametro X-AWS-Parameters-Secrets-Token all'intestazione della richiesta. Imposta il token su AWS_SESSION_TOKEN, fornito da Lambda per tutte le funzioni in esecuzione. L'utilizzo di questa intestazione indica che chi effettua la chiamata si trova all'interno dell'ambiente Lambda.

   Il seguente esempio di Python mostra come aggiungere l'intestazione.

   import os
   headers = {"X-Aws-Parameters-Secrets-Token": os.environ.get('AWS_SESSION_TOKEN')}

5. Per recuperare un segreto all'interno della funzione Lambda, usa una delle seguenti HTTP GET richieste:

   • Per recuperare un segreto, persecretId, usa il nome ARN o del segreto.

     GET: /secretsmanager/get?secretId=secretId

   • Per recuperare il valore segreto precedente o una versione specifica tramite l'etichetta temporanea, forsecretId, usa il nome ARN o del segreto e forversionStage, usa l'etichetta temporanea.

     GET: /secretsmanager/get?secretId=secretId&versionStage=AWSPREVIOUS

   • Per recuperare una versione segreta specifica tramite IDsecretId, usa il nome ARN o del segreto e forversionId, usa l'ID della versione.

     GET: /secretsmanager/get?secretId=secretId&versionId=versionId

   Esempio Recupero di un segreto (Python)

   Il seguente esempio di Python mostra come recuperare un segreto e analizzare il risultato usando json.loads.

   secrets_extension_endpoint = "http://localhost:" + \
       secrets_extension_http_port + \
       "/secretsmanager/get?secretId=" + \
       <secret_name>
     
     r = requests.get(secrets_extension_endpoint, headers=headers)
     
     secret = json.loads(r.text)["SecretString"] # load the Secrets Manager response into a Python dictionary, access the secret