AWS Lambda 함수에서 AWS Secrets Manager 보안 암호 사용

AWS 파라미터 및 보안 암호 Lambda 확장을 사용하려면

1. 함수에 AWS Parameters and Secrets Lambda Extension이라는 AWS 계층을 추가합니다. 지침을 보려면 Lambda 개발자 안내서의 함수에 계층 추가 단원을 참조하세요. AWS CLI를 사용하여 계층을 추가할 경우 확장의 ARN이 필요합니다. ARN 목록은 AWS Systems Manager 사용 설명서의 AWS 매개변수 및 보안 암호 Lambda 확장 ARN을 참조하세요.

2. Lambda 실행 역할에게 보안 암호에 액세스할 수 있는 권한을 부여합니다.

   • 보안 암호에 대한 secretsmanager:GetSecretValue 권한. 예: 개별 보안 암호 값을 검색할 수 있는 권한 섹션을 참조하세요.

   • (선택 사항) AWS 관리형 키 aws/secretsmanager 대신 고객 관리형 키로 보안 암호를 암호화하는 경우 실행 역할은 KMS 키에 대한 kms:Decrypt 권한도 필요합니다.

   • ABAC(속성 기반 액세스 제어)를 Lambda 역할과 함께 사용하여 계정의 보안 암호에 더 세밀하게 액세스할 수 있습니다. 자세한 내용은 속성 기반 액세스 제어(ABAC)를 사용하여 보안 암호에 대한 액세스 제어 단원을 참조하십시오.

3. Lambda 환경 변수를 사용하여 캐시를 구성합니다.

4. 익스텐션 캐시에서 보안 암호를 검색하려면 먼저 요청 헤더에 X-AWS-Parameters-Secrets-Token을 추가해야 합니다. 모든 실행 중인 함수에 대해 Lambda에서 제공하는 AWS_SESSION_TOKEN으로 토큰을 설정합니다. 이 헤더를 사용하면 호출자가 Lambda 환경 내에 있음을 나타냅니다.

   다음 Python 예제에서는 헤더를 추가하는 방법을 보여줍니다.

   import os
   headers = {"X-Aws-Parameters-Secrets-Token": os.environ.get('AWS_SESSION_TOKEN')}

5. Lambda 함수 내에서 보안 암호를 검색하려면 다음 HTTP GET 요청 중 하나를 사용합니다.

   • secretId에 대한 보안 암호를 검색하려면 보안 암호의 ARN 또는 이름을 사용합니다.

     GET: /secretsmanager/get?secretId=secretId

   • 이전 보안 암호 값이나 스테이징 레이블별 특정 버전을 검색하려면, secretId의 경우 보안 암호의 ARN 또는 이름을 사용하고, versionStage인 경우 스테이징 레이블을 사용하십시오.

     GET: /secretsmanager/get?secretId=secretId&versionStage=AWSPREVIOUS

   • ID별로 특정 암호 버전을 검색하려면, secretId의 경우 보안 암호의 ARN 또는 이름을 사용하고, versionId인 경우 버전 ID를 사용하십시오.

     GET: /secretsmanager/get?secretId=secretId&versionId=versionId

   예 보안 암호 검색(Python)

   다음 Python 예제에서는 json.loads를 사용하여 보안 암호를 검색하고 결과를 구문 분석하는 방법을 보여줍니다.

   secrets_extension_endpoint = "http://localhost:" + \
       secrets_extension_http_port + \
       "/secretsmanager/get?secretId=" + \
       <secret_name>
     
     r = requests.get(secrets_extension_endpoint, headers=headers)
     
     secret = json.loads(r.text)["SecretString"] # load the Secrets Manager response into a Python dictionary, access the secret