使用動態參考來指定範本值

動態參考提供了一種精簡且功能強大的方式，可讓您指定在其他服務 (例如 Systems Manager 參數存放區和堆疊範本) 中儲存和 AWS Secrets Manager管理的外部值。當您使用動態參考時， CloudFormation 會在堆疊和變更集合作業期間必要時擷取指定參考的值。

CloudFormation 目前支援下列動態參照模式：

使用動態參考時的考量

下列是您在使用動態參考時應給予的考量：

在堆疊範本中指定動態參考

動態參考遵守下列模式：

'{{resolve:service-name:reference-key}}' 或 '{{resolve:ssm:[a-zA-Z0-9_.\-/]+(:\d+)?}}'

SSM 參數

在您的範本中，使用 ssm 動態參考來包含存放在 Systems Manager 參數存放區的 String 或 StringList 類型的值。

參考模式

對於 SSM 參數，reference-key 區段由參數名稱和版本編號組成。使用下列模式：

'{{resolve:ssm:parameter-name:version}}'

針對 parameter-name 和 version，您的參考必須遵守下列規則表達式模式：

'{{resolve:ssm:[a-zA-Z0-9_.-/]+:\\d+}}'

範例

以下範例使用 ssm 動態參考，將 S3 儲存貯體的存取控制設為存放在 Systems Manager 參數存放區的參數值。如指定， CloudFormation 將使用第 2 版S3AccessControl參數進行堆疊和變更集合作業。

  "MyS3Bucket": {
    "Type": "AWS::S3::Bucket",
    "Properties": {
      "AccessControl": "{{resolve:ssm:S3AccessControl:2}}"
    }
  }

  MyS3Bucket:
    Type: 'AWS::S3::Bucket'
    Properties:
      AccessControl: '{{resolve:ssm:S3AccessControl:2}}' 

若要指定存放在 Systems Manager 參數存放區的參數，您必須有存取權呼叫 GetParameters 以取得指定的參數。如需詳細資訊，請參閱《AWS Systems Manager 使用者指南》中的控制對 Systems Manager 參數的存取。

使用 ssm 動態參考模式時應注意的其他考量：

SSM 安全字串參數

使用動ssm-secure態參照模式來指定範本中的 AWS Systems Manager SecureString類型參數。對於ssm-secure動態參考， AWS CloudFormation 永遠不要儲存實際參數值。 AWS CloudFormation 在建立和更新堆疊和變更集作業期間存取參數值。目前，安全字串參數只能用於有支援 ssm-secure 動態參考模式的資源屬性。

安全字串參數是需要以安全方式存放和參考的所有敏感資料。也就是說，您不想讓使用者以純文字更改或參考的資料，例如密碼或授權金鑰。如需有關安全字串的詳細資訊，請參閱《AWS Systems Manager 使用者指南》中的 Use secure string parameters (使用安全字串參數)。

安全字串參數值不會儲存在中 CloudFormation，也不會在任何 API 呼叫結果中傳回。

參考模式

對於 ssm-secure 動態參考，reference-key 區段由參數名稱和版本編號組成。使用下列模式：

'{{resolve:ssm-secure:parameter-name:version}}'

針對 parameter-name 和 version，您的參考必須遵守下列規則表達式模式：

'{{resolve:ssm-secure:[a-zA-Z0-9_.-/]+:\\d+}}'

範例

以下範例使用 ssm-secure 動態參考，將 IAM 使用者的密碼設為存放在 Systems Manager 參數存放區的安全字串。如指定， CloudFormation 將使用版本 10 的IAMUserPassword參數進行堆疊和變更集合作業。

  "MyIAMUser": {
    "Type": "AWS::IAM::User",
    "Properties": {
      "UserName": "MyUserName",
      "LoginProfile": {
        "Password": "{{resolve:ssm-secure:IAMUserPassword:10}}"
      }
    }
  }

  MyIAMUser:
    Type: AWS::IAM::User
    Properties:
      UserName: 'MyUserName'
      LoginProfile:
        Password: '{{resolve:ssm-secure:IAMUserPassword:10}}'

使用 ssm-secure 動態參考模式時應注意的其他考量：

對安全字串支援動態參數模式的資源

目前支援 ssm-secure 動態參考模式的資源包括：

Secrets Manager 秘密

使用 secretsmanager 動態參考擷取存放於 Secrets Manager 中的全部秘密或秘密值，以用於您的範本中。秘密可能是資料庫憑證、密碼、第三方 API 金鑰或任意文字。您可以使用 Secrets Manage 集中存放或控制對這些秘密的存取，因此您可以將程式碼中的硬式編碼憑證 (包括密碼)，取代為對 Secrets Manager 的 API 呼叫，以程式設計方式擷取秘密。如需詳細資訊，請參閱什麼是 AWS Secrets Manager？ 在《AWS Secrets Manager 使用者指南》中。

將動態參考用於 Secrets Manager 秘密時的重要考量事項

使用動態參考在堆疊範本中指定 Secrets Manager 秘密時，您應該考慮下列重要的安全性考量：

必要許可

若要指定存放在 Secrets Manager 中的秘密，您必須有存取權呼叫 GetSecretValue 以取得秘密。

參考模式

對於 Secrets Manager 秘密，reference-key 區段由幾個區段組成，包括秘密 ID、秘密數值金鑰、版本階段和版本 ID。使用下列模式：

{{resolve:secretsmanager:secret-id:secret-string:json-key:version-stage:version-id}}

範例

以下範例使用 secret-name 和 json-key 區段擷取存放在 MyRDSSecret 秘密中的使用者名稱和密碼值。在預設情況下，擷取的秘密版本是版本階段值為 AWSCURRENT 的版本。

{
    "MyRDSInstance": {
        "Type": "AWS::RDS::DBInstance",
        "Properties": {
            "DBName": "MyRDSInstance",
            "AllocatedStorage": "20",
            "DBInstanceClass": "db.t2.micro",
            "Engine": "mysql",
            "MasterUsername": "{{resolve:secretsmanager:MyRDSSecret:SecretString:username}}",
            "MasterUserPassword": "{{resolve:secretsmanager:MyRDSSecret:SecretString:password}}"
        }
    }
}

  MyRDSInstance:
    Type: 'AWS::RDS::DBInstance'
    Properties:
      DBName: MyRDSInstance
      AllocatedStorage: '20'
      DBInstanceClass: db.t2.micro
      Engine: mysql
      MasterUsername: '{{resolve:secretsmanager:MyRDSSecret:SecretString:username}}'
      MasterUserPassword: '{{resolve:secretsmanager:MyRDSSecret:SecretString:password}}'

指定下列區段會擷取SecretString的 MySecret。

'{{resolve:secretsmanager:MySecret}}' 或 '{{resolve:secretsmanager:MySecret::::}}'

指定下列區段會擷取的password值 MySecret。

'{{resolve:secretsmanager:MySecret:SecretString:password}}'

指定下列區段會擷取SecretString另一個 AWS 帳戶中的節段。 MySecret 您必須指定完整的機密 ARN 才能存取其他 AWS 帳戶中的密碼。

'{{resolve:secretsmanager:arn:aws:secretsmanager:us-west-2:123456789012:secret:MySecret-a1b2c3}}'

指定下列區段會擷取另一個 AWS 帳戶中 MySecret 該區段的password值。您必須指定完整的機密 ARN 才能存取其他 AWS 帳戶中的密碼。

'{{resolve:secretsmanager:arn:aws:secretsmanager:us-west-2:123456789012:secret:MySecret-a1b2c3:SecretString:password}}'

指定下列區段會擷取的AWSPREVIOUS版本password值 MySecret。

'{{resolve:secretsmanager:MySecret:SecretString:password:AWSPREVIOUS}}'