View a markdown version of this page

Funzioni di rotazione lambda - AWS Secrets Manager
Quattro fasi di una funzione di rotazione

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Funzioni di rotazione lambda

InRotazione tramite funzione Lambda, una AWS Lambda funzione fa ruotare il segreto. AWS Secrets Manager utilizza etichette temporanee per identificare le versioni segrete durante la rotazione.

Se AWS Secrets Manager non fornisce un modello di funzione di rotazione per il tipo segreto, puoi creare una funzione di rotazione personalizzata. Segui queste linee guida quando scrivi la tua funzione di rotazione:

Procedure consigliate per le funzioni di rotazione personalizzate

  • Utilizzate il modello di rotazione generico come punto di partenza.

  • Fate attenzione con le istruzioni di debug o di registrazione. Possono scrivere informazioni su Amazon Logs. CloudWatch Assicurati che i log non contengano informazioni sensibili.

    Per esempi di istruzioni di registro, consulta il codice AWS Secrets Manager modelli di funzioni di rotazione sorgente.

  • Per motivi di sicurezza, consente AWS Secrets Manager solo a una funzione di rotazione Lambda di ruotare direttamente il segreto. La funzione di rotazione non può chiamare un'altra funzione Lambda per ruotare il segreto.

  • Per indicazioni sul debug, consulta Test e debug di applicazioni serverless.

  • Se utilizzi file binari e librerie esterni, ad esempio per connetterti a una risorsa, sei responsabile dell'applicazione delle patch e dell'aggiornamento.

  • Inserisci la tua funzione di rotazione e le eventuali dipendenze in un file ZIP, ad esempio. my-function.zip

avvertimento

L'impostazione del parametro di concorrenza assegnato su un valore inferiore a 10 può causare limitazioni dovute a thread di esecuzione insufficienti per la funzione Lambda. Per ulteriori informazioni, consulta Understanding reserved concurrency e provisioned concurrency nella Developer Guide. AWS Lambda AWS Lambda

Quattro fasi di una funzione di rotazione

CreateSecret: crea una nuova versione del segreto

Il metodo verifica createSecret innanzitutto se esiste un segreto chiamando get_secret_value con il codice passato. ClientRequestToken Se non è presente alcun segreto, ne crea uno nuovo con create_secret il token come. VersionId Quindi genera un nuovo valore segreto con get_random_password. Successivamente chiama put_secret_value per memorizzarlo con l'etichetta AWSPENDING di staging. La memorizzazione del nuovo valore del segreto in AWSPENDING aiuta a garantire l'idempotenza. Se per un motivo qualsiasi la rotazione non viene eseguita, puoi fare riferimento a quel valore del segreto nelle chiamate successive. Consulta Come posso rendere idempotente la mia funzione Lambda.

Suggerimenti per scrivere la propria funzione di rotazione

  • Assicurati che il nuovo valore segreto includa solo caratteri validi per il database o il servizio. Escludi i caratteri utilizzando il parametro ExcludeCharacters.

  • Mentre testate la vostra funzione, usate il pulsante AWS CLI per vedere le fasi della versione: chiamate describe-secret e guardateVersionIdsToStages.

  • Per Amazon RDS MySQL, nella rotazione alternata degli utenti, Secrets Manager crea un utente clonato con un nome non più lungo di 16 caratteri. Puoi modificare la funzione di rotazione per consentire nomi utente più lunghi. La versione 5.7 e successive di MySQL supportano nomi utente fino a 32 caratteri, tuttavia Secrets Manager aggiunge "_clone" (sei caratteri) alla fine del nome utente, quindi è necessario mantenere il nome utente a un massimo di 26 caratteri.

Imposta Secret: Modifica le credenziali nel database o nel servizio

Il metodo setSecret modifica le credenziali nel database o nel servizio in modo che corrispondano al nuovo valore segreto nella AWSPENDING versione del segreto.

Suggerimenti per scrivere una funzione di rotazione personalizzata

  • Se passate le istruzioni a un servizio che interpreta le istruzioni, come un database, utilizzate la parametrizzazione delle interrogazioni. Per ulteriori informazioni, consultate Query Parameterization Cheat Sheet sul sito Web OWASP.

  • La funzione di rotazione è un "privileged deputy" che ha l'autorizzazione ad accedere e modificare le credenziali del cliente sia nel segreto di Gestione dei segreti che nella risorsa di destinazione. Per evitare un potenziale attacco confused deputy, devi assicurarti che un utente malintenzionato non possa utilizzare la funzione per accedere ad altre risorse. Prima di aggiornare le credenziali:

    • Verifica che la credenziale nella versione AWSCURRENT del segreto sia valida. Se la credenziale AWSCURRENT non è valida, abbandona il tentativo di rotazione.

    • Verifica che i valori dei segreti AWSCURRENT e AWSPENDING si riferiscano alla stessa risorsa. Per il nome utente e la password, verifica che i nomi utente AWSCURRENT e AWSPENDING siano uguali.

    • Verifica che la risorsa del servizio di destinazione sia la stessa. Per un database, verifica che i nomi degli host AWSCURRENT e AWSPENDING siano uguali.

  • In rari casi, potresti voler personalizzare una funzione di rotazione esistente per un database. Ad esempio, con la rotazione alternata degli utenti, Secrets Manager crea l'utente clonato copiando i parametri di configurazione di runtime del primo utente. Se desideri includere più attributi o modificare quelli concessi all'utente clonato, devi aggiornare il codice nella funzione set_secret.

TestSecret: Prova la nuova versione segreta

Successivamente, la funzione di rotazione Lambda esegue il test della versione AWSPENDING del segreto utilizzando questa versione per accedere al database o al servizio. Le funzioni di rotazione basate su Modelli di funzione di rotazione verificano il nuovo segreto utilizzando un accesso in lettura.

Finish Secret: Termina la rotazione

Infine, la funzione di rotazione Lambda sposta l'etichetta AWSCURRENT dalla precedente versione segreta a questa versione, che rimuove anche l'etichetta AWSPENDING nella stessa chiamata API. Secrets Manager aggiunge l'etichetta di gestione temporanea AWSPREVIOUS alla versione precedente, in modo da conservare l'ultima versione nota del segreto.

Il metodo finish_secret viene utilizzato update_secret_version_stage per spostare l'etichetta di staging AWSCURRENT dalla versione segreta precedente alla nuova versione segreta. Gestione dei segreti aggiunge automaticamente l'etichetta di gestione temporanea AWSPREVIOUS alla versione precedente, in modo da conservare l'ultima versione nota del segreto.

Suggerimenti per scrivere una funzione di rotazione personalizzata

  • Non rimuoverla AWSPENDING prima di questo punto e non rimuoverla utilizzando una chiamata API separata, perché ciò può indicare a Secrets Manager che la rotazione non è stata completata correttamente. Secrets Manager aggiunge l'etichetta di gestione temporanea AWSPREVIOUS alla versione precedente, in modo da conservare l'ultima versione nota del segreto.

Quando la rotazione ha esito positivo, l'etichetta di gestione temporanea AWSPENDING potrebbe essere collegata alla stessa versione come la versione AWSCURRENT, oppure potrebbe non essere collegata a nessuna versione. Se l'etichetta di gestione temporanea AWSPENDING è presente ma non è collegata alla stessa versione come AWSCURRENT, qualsiasi successiva chiamata di rotazione presuppone che una precedente richiesta di rotazione sia ancora in corso e viene segnalato un errore. Quando la rotazione non ha esito positivo, l'etichetta di gestione temporanea AWSPENDING potrebbe essere collegata a una versione di un segreto vuota. Per ulteriori informazioni, consulta Risoluzione dei problemi della rotazione.