在 AWS Lambda 函數中使用 AWS Secrets Manager 秘密

使用 AWS 參數和秘密 Lambda 延伸模組

1. 將名為 AWS Parameters and Secrets Lambda Extension 的AWS 層新增至您的函數。如需指示，請參閱 Lambda 開發人員指南 中的將層新增至函數。如果您使用 AWS CLI 來新增 層，則需要延伸ARN模組的 。如需 的清單ARNs，請參閱 AWS Systems Manager 使用者指南 中的AWS 參數和秘密 Lambda 延伸ARNs模組。

2. 將許可授予 Lambda 執行角色，以便能夠存取秘密：

   • 秘密的 secretsmanager:GetSecretValue 許可。請參閱 範例：擷取每個秘密值的許可。

   • （選用） 如果使用客戶受管金鑰而非 加密秘密 AWS 受管金鑰 aws/secretsmanager，則執行角色也需要KMS金鑰的kms:Decrypt許可。

   • 您可以使用屬性型存取控制 （ABAC） 搭配 Lambda 角色，以允許更精細地存取帳戶中的秘密。如需詳細資訊，請參閱使用屬性型存取控制控制對秘密的存取 （ABAC） 。

3. 使用 Lambda 環境變數設定快取。

4. 若要從延伸模組快取擷取秘密，您必須先將 X-AWS-Parameters-Secrets-Token 新增至請求標頭。將字符設定為 AWS_SESSION_TOKEN，這會由 Lambda 針對所有運行中的函數提供。使用此標頭表示呼叫者位於 Lambda 環境中。

   以下 Python 範例說明如何新增標頭。

   import os
   headers = {"X-Aws-Parameters-Secrets-Token": os.environ.get('AWS_SESSION_TOKEN')}

5. 若要擷取 Lambda 函數中的秘密，請使用下列其中一個HTTPGET請求：

   • 若要擷取秘密，請針對 secretId使用秘密的 ARN或 名稱。

     GET: /secretsmanager/get?secretId=secretId

   • 若要透過預備標籤擷取先前的秘密值或特定版本，對於 secretId，請使用秘密的 ARN或 名稱，對於 versionStage，請使用預備標籤。

     GET: /secretsmanager/get?secretId=secretId&versionStage=AWSPREVIOUS

   • 若要依 ID 擷取特定秘密版本，請在 secretId中使用秘密的 ARN或 名稱，在 versionId中使用版本 ID。

     GET: /secretsmanager/get?secretId=secretId&versionId=versionId

   範例 擷取機密 (Python)

   以下 Python 範例說明如何擷取秘密，並使用 json.loads 剖析結果。

   secrets_extension_endpoint = "http://localhost:" + \
       secrets_extension_http_port + \
       "/secretsmanager/get?secretId=" + \
       <secret_name>
     
     r = requests.get(secrets_extension_endpoint, headers=headers)
     
     secret = json.loads(r.text)["SecretString"] # load the Secrets Manager response into a Python dictionary, access the secret