关于为 Aurora MySQL RDS 数据库创建凭证轮换 Lambda 函数的问题

Question

我找到了这个rotation function template，我将修改这个模板来创建我自己的轮换函数并告诉 Secrets Manager 使用它来执行轮换。

我的问题是我应该更改模板中的哪个部分，模板中不是很清楚，例如第 47-49 行，我应该将SecretId替换为我的 Secret ARN 吗？

arn = event['SecretId']
token = event['ClientRequestToken']
step = event['Step']

另一个例子：第 57 行

endpoint_url=os.environ['SECRETS_MANAGER_ENDPOINT']

我应该为'SECRETS_MANAGER_ENDPOINT' 使用什么值，也许是'https://secretsmanager.region.amazonaws.com'？？

另外，205-206行

This is where the lambda will validate the user's permissions. 
Uncomment/modify the below lines to
# tailor these validations to your needs

我需要在这部分添加什么来授予 Secrets Manager 调用此函数的权限？

有点困惑，我几乎一整天都在搞乱整个凭证轮换，任何建议都将不胜感激。

Answer 1

您不需要对加载事件的逻辑或环境变量进行任何更改。

这样想。发生轮换时，秘密管理器将调用您的 lambda。该调用有一个与之关联的事件，其中包含轮换步骤、要轮换的密钥的 SecretId、ClientRequestToken 等

你不需要修改那个逻辑。

关于 lambda，您需要为 secrets manager 端点设置一个环境变量 - https://docs.aws.amazon.com/lambda/latest/dg//go-programming-model-env-variables.html

• ''https://secretsmanager.region.amazonaws.com' 但插入您正在使用的区域 - 例如https://secretsmanager.us-west-2.amazonaws.com

Answer 2

正如@committedandroider 所说，您不需要修改 47-49，因为它由 Secrets Manager 轮换引擎传递给 Lambda 调用，并且在您创建函数时第 57 行被设置为 Lambda 函数的环境变量（是的，您应该将其设置为 https://secretsmanager.REGION.amazonaws.com）。

Secrets Manager 轮换引擎每次都会使用不同的步长值（createSecret、setSecret、testSecret 和 finishSecret）调用 lambda 四次。第 205-206 行是 testSecret 步骤的一部分，旨在通过建立与数据库的连接（使用新凭据）并运行简单查询来测试新的数据库凭据。该评论告诉您，如果您愿意，您可以在其中添加更多检查（例如，从您真正关心的表中进行选择）。

要授予 Secrets Manager permissions to run the Lambda，您必须向 Lambda 函数添​​加权限，以授予服务主体 secretsmanager.amazonaws.com lambda:InvokeFunction 权限。例如：

aws --region REGION lambda add-permission --function-name LAMBDANAME --statement-id "Rotation" --action "lambda:InvokeFunction" --principal secretsmanager.amazonaws.com

其中 REGION 是您使用的 AWS 区域，LAMBDANAME 是您为 lambda 指定的名称。