在 AWS Lambda 函数中使用 AWS Secrets Manager 密钥

若要使用 AWS 参数和密钥 Lambda 扩展

1. 将名为 AWS Parameters and Secrets Lambda Extension 的 AWS 层添加到您的函数。有关说明，请参阅《Lambda 开发人员》指南中的向函数添加层。如果使用 AWS CLI 来添加层，则需要扩展的 ARN。有关 ARN 的列表，请参阅《AWS Systems Manager 用户指南》中的 AWS 参数和秘密 Lambda 扩展 ARN。

2. 授予 Lambda 执行角色访问密钥的权限：

   • 密钥的 secretsmanager:GetSecretValue 权限。请参阅 示例：检索单个秘密值的权限。

   • （可选）如果密钥使用客户托管的密钥而不是 AWS 托管式密钥 aws/secretsmanager 加密，则执行角色还需要 KMS 密钥的 kms:Decrypt 权限。

   • 您可以将基于属性的访问权限控制（ABAC）与 Lambda 角色结合使用，以允许对账户中的密钥进行更精细的访问。有关更多信息，请参阅 使用基于属性的访问权限控制（ABAC）控制对密钥的访问 。

3. 使用 Lambda 环境变量配置缓存。

4. 若要从扩展缓存中检索密钥，您首先需要将 X-AWS-Parameters-Secrets-Token 添加到请求标头中。将令牌设置为 AWS_SESSION_TOKEN，Lambda 为所有正在运行的函数提供此令牌。使用此标头表示调用方在 Lambda 环境中。

   下列 Python 示例说明如何添加标头。

   import os
   headers = {"X-Aws-Parameters-Secrets-Token": os.environ.get('AWS_SESSION_TOKEN')}

5. 若要在 Lambda 函数中检索密钥，请使用下列 HTTP GET 请求之一：

   • 要检索密钥，对于 secretId，请指定密钥的 ARN 或名称。

     GET: /secretsmanager/get?secretId=secretId

   • 要通过暂存标签检索先前的密钥值或特定版本，对于 secretId，请使用密钥的 ARN 或名称，对于 versionStage，请使用暂存标签。

     GET: /secretsmanager/get?secretId=secretId&versionStage=AWSPREVIOUS

   • 要通过 ID 检索特定密钥版本，对于 secretId，请使用密钥的 ARN 或名称，对于 versionId，请使用版本 ID。

     GET: /secretsmanager/get?secretId=secretId&versionId=versionId

   例 检索密钥 (Python)

   下列 Python 示例说明如何使用 json.loads 检索密钥并解析结果。

   secrets_extension_endpoint = "http://localhost:" + \
       secrets_extension_http_port + \
       "/secretsmanager/get?secretId=" + \
       <secret_name>
     
     r = requests.get(secrets_extension_endpoint, headers=headers)
     
     secret = json.loads(r.text)["SecretString"] # load the Secrets Manager response into a Python dictionary, access the secret