AWS Lambda 関数で AWS Secrets Manager シークレットを使用する

AWS Parameters and Secrets Lambda Extension を使用するには

1. [AWS Parameters and Secrets Lambda Extension] という名前の [AWS レイヤー] を関数に追加します。手順については、「Lambda デベロッパーガイド」の「関数へのレイヤーの追加」を参照してください。AWS CLI を使用してレイヤーを追加するには、拡張機能 ARN が必要です。ARN のリストについては、「AWS Systems Manager ユーザーガイド」の「AWS Parameters and Secrets Lambda Extension の ARN」を参照してください。

2. シークレットにアクセスできるアクセス許可を Lambda 実行ロールに付与します。

   • シークレットの secretsmanager:GetSecretValue アクセス許可。「例: 個別のシークレット値を取得するためのアクセス許可」を参照してください。

   • (オプション) シークレットが AWS マネージドキー aws/secretsmanager ではなくカスタマー管理キーで暗号化されている場合、実行ロールには KMS キーに対する kms:Decrypt アクセス許可も必要です。

   • Lambda ロールで属性ベースのアクセス制御 (ABAC) を使用すると、アカウントのシークレットへのアクセスをきめ細かく制御できます。詳細については、「属性ベースのアクセス制御 (ABAC) を使用してシークレットへのアクセスを制御する 」を参照してください。

3. Lambda 環境変数を使用してキャッシュを設定します。

4. 拡張キャッシュからシークレットを取得するには、まずリクエストヘッダーに X-AWS-Parameters-Secrets-Token を追加する必要があります。トークンを AWS_SESSION_TOKEN に設定します。これは実行中のすべての関数に対して Lambda によって提供されます。このヘッダーを使用すると、呼び出し元が Lambda 環境内にあることがわかります。

   次の Python の例では、ヘッダーを追加する方法を示しています。

   import os
   headers = {"X-Aws-Parameters-Secrets-Token": os.environ.get('AWS_SESSION_TOKEN')}

5. Lambda 関数内のシークレットを取得するには、次の HTTP GET リクエストのいずれかを使用します。

   • secretId の場合、シークレットを取得するには、シークレット ARN または名前を使用します。

     GET: /secretsmanager/get?secretId=secretId

   • ステージングラベルで以前のシークレット値または特定のバージョンを取得するには、secretId の場合、シークレットの ARN または名前を使用し、versionStage の場合、ステージングラベルを使用します。

     GET: /secretsmanager/get?secretId=secretId&versionStage=AWSPREVIOUS

   • ID で特定のシークレットバージョンを取得するには、secretId の場合、シークレットの ARN または名前を使用し、versionId の場合、バージョン ID を使用します。

     GET: /secretsmanager/get?secretId=secretId&versionId=versionId

   例 シークレットを取得する (Python)

   次の Python の例では、json.loads を使用してシークレットを取得し、その結果を解析する方法を示しています。

   secrets_extension_endpoint = "http://localhost:" + \
       secrets_extension_http_port + \
       "/secretsmanager/get?secretId=" + \
       <secret_name>
     
     r = requests.get(secrets_extension_endpoint, headers=headers)
     
     secret = json.loads(r.text)["SecretString"] # load the Secrets Manager response into a Python dictionary, access the secret