使用 AWS Secrets Manager 秘密 AWS Lambda 函數

若要使用 AWS 參數和秘密 Lambda 擴展

1. 添加 AWS 具名的圖層 AWS 參數和秘密 Lambda 擴展到您的函數。如需指示，請參閱 Lambda 開發人員指南中的將圖層新增至函數。如果您使用 AWS CLI 要添加圖層，您需要ARN擴展名。如需的清單ARNs，請參閱 AWS 參數和秘密 Lambda 擴展 ARNs AWS Systems Manager 使用者指南。

2. 將許可授予 Lambda 執行角色，以便能夠存取秘密：

   • 秘密的 secretsmanager:GetSecretValue 許可。請參閱 範例：擷取每個秘密值的許可。

   • (選擇性) 如果密碼是使用客戶管理的金鑰加密，而非 AWS 受管金鑰 aws/secretsmanager，執行角色也需要KMS金鑰的kms:Decrypt權限。

   • 您可以將屬性型存取控制 (ABAC) 與 Lambda 角色搭配使用，以允許更精細地存取帳戶中的密碼。如需詳細資訊，請參閱 範例：使用標籤控制對秘密的存取 和 範例：使用符合秘密標籤的標籤限制對身分的存取。

3. 使用 Lambda 環境變數設定快取。

4. 若要從延伸模組快取擷取秘密，您必須先將 X-AWS-Parameters-Secrets-Token 新增至請求標頭。將字符設定為 AWS_SESSION_TOKEN，這會由 Lambda 針對所有運行中的函數提供。使用此標頭表示呼叫者位於 Lambda 環境中。

   以下 Python 範例說明如何新增標頭。

   import os
   headers = {"X-Aws-Parameters-Secrets-Token": os.environ.get('AWS_SESSION_TOKEN')}

5. 若要擷取 Lambda 函數中的密碼，請使用下列其中一個HTTPGET要求：

   • 若要擷取密碼secretId，請使用密碼的ARN或名稱。

     GET: /secretsmanager/get?secretId=secretId

   • 若要透過暫存標籤擷取先前的密碼值或特定版本secretId，請使用密碼的ARN或名稱，以及用於versionStage，請使用暫存標籤。

     GET: /secretsmanager/get?secretId=secretId&versionStage=AWSPREVIOUS

   • 若要依 ID 擷取特定密碼版本secretId，請使用密碼的ARN或名稱，以及使用版本 ID。versionId

     GET: /secretsmanager/get?secretId=secretId&versionId=versionId

   範例 擷取機密 (Python)

   以下 Python 範例說明如何擷取秘密，並使用 json.loads 剖析結果。

   secrets_extension_endpoint = "http://localhost:" + \
       secrets_extension_http_port + \
       "/secretsmanager/get?secretId=" + \
       <secret_name>
     
     r = requests.get(secrets_extension_endpoint, headers=headers)
     
     secret = json.loads(r.text)["SecretString"] # load the Secrets Manager response into a Python dictionary, access the secret