Lambda 교체 함수

일반 교체 템플릿을 출발점으로 사용하여 고유한 교체 함수를 작성합니다.

함수를 직접 작성할 때와 마찬가지로 디버깅 또는 로깅 명령문을 포함하는 데 주의해야 합니다. 이러한 명령문으로 인해 함수의 정보가 Amazon CloudWatch에 쓰일 수 있으므로 개발 중에 수집된 민감한 데이터가 로그에 포함되지 않도록 해야 합니다.

로그 문의 예는 AWS Secrets Manager 교체 함수 템플릿 소스 코드를 참조하세요.

보안을 위해 Secrets Manager는 Lambda 교체 함수에서 암호를 직접 교체하는 것만 허용합니다. 교체 함수는 두 번째 Lambda 함수를 호출하여 암호를 교체할 수 없습니다.

디버깅 제안 사항은 서버리스 애플리케이션 테스트 및 디버깅을 참조하세요.

예를 들어 외부 바이너리와 라이브러리를 사용하여 리소스에 연결하는 경우 바이너리와 라이브러리를 패치하고 최신 상태로 유지해야 합니다.

교체 함수를 필요한 종속성과 함께 my-function.zip ZIP 파일에 저장합니다.

새 보안 암호 값에 데이터베이스 또는 서비스에 유효한 문자만 포함되어 있는지 확인해야 합니다. ExcludeCharacters 파라미터를 사용하여 문자를 제외합니다.

함수를 테스트할 때 AWS CLI를 사용하여 버전 단계를 확인하세요. 즉, describe-secret를 호출하고 VersionIdsToStages를 살펴보세요.

Amazon RDS MySQL의 경우 대체 사용자 교체 시 Secrets Manager는 이름이 16자를 넘지 않는 클론 사용자를 생성합니다. 더 긴 사용자 이름을 허용하도록 교체 함수를 수정할 수 있습니다. MySQL 버전 5.7 이상에서는 최대 32자의 사용자 이름을 지원하지만 Secrets Manager는 사용자 이름 끝에 "_clone"(6자)을 추가하므로 사용자 이름을 최대 26자로 유지해야 합니다.

데이터베이스처럼 문을 해석하는 서비스에 문을 전달할 경우 쿼리 파라미터화를 사용합니다. 자세한 내용은 OWASP 웹 사이트의 Query Parameterization Cheat Sheet를 참조하세요.

교체 함수는 Secrets Manager 보안 암호와 대상 리소스 모두에서 고객 보안 인증을 액세스하고 수정할 수 있는 권한을 가진 대리자입니다. 잠재적으로 혼동된 대리자 공격을 방지하려면 공격자가 함수를 사용하여 다른 리소스에 액세스할 수 없도록 해야 합니다. 보안 인증을 업데이트하기 전에:

드문 경우지만 데이터베이스에 대한 기존 교체 함수를 사용자 지정할 수 있습니다. 예를 들어 대체 사용자 교체가 있는 경우 Secrets Manager는 첫 번째 사용자의 런타임 구성 매개변수를 복사하여 복제된 사용자를 생성합니다. 더 많은 속성을 포함하거나 복제된 사용자에게 부여되는 속성을 변경하려면 set_secret 함수의 코드를 업데이트해야 합니다.

이 시점 이전에는 AWSPENDING 을 제거해서는 안 되며, 별도의 API 호출을 사용하여 제거하면 교체가 성공적으로 완료되지 않았음을 Secrets Manager에 알릴 수 있으므로 별도의 API 직접 호출을 사용하여 제거해서도 안 됩니다. Secrets Manager에서 AWSPREVIOUS 스테이징 레이블을 이전 버전으로 추가하여 보안 암호의 마지막으로 확인된 정상 버전을 유지할 수 있습니다.