关于验证 Secrets Manager 的凭证轮换 Lambda 函数是否成功的问题答案

【问题标题】：Question about verifying if the credential rotation Lambda function for Secrets Manager successful关于验证 Secrets Manager 的凭证轮换 Lambda 函数是否成功的问题
【发布时间】：2020-05-16 04:04:01
【问题描述】：

我手动创建了一个 Lambda 轮换函数，在 Secrets Manager 控制台中配置它（启用轮换，告诉 SM 使用这个新创建的函数），到目前为止一切正常，但我不知道如何验证轮换是否正确现在工作。

我找到了this document，我将按照第 4 步“验证成功轮换”进行操作，但他们提供的命令不适用于 AWS CLI：

secret=$(aws secretsmanager get-secret-value --secret-id xxxxxxx | jq .SecretString | jq fromjson)

如果我在 AWS CLI 中尝试会出错：

'secret' is not recognized as an internal or external command,
operable program or batch file.

他们的方法是使用 MySQL 客户端，有没有办法在 AWS CLI 或命令提示符下进行测试？非常感谢。

【问题讨论】：

它说秘密无法识别，所以我猜它甚至无法识别命令中的secret= 文本
@AshishModi 我认为它们是 MySQL 客户端中使用的命令，我不想使用它们，我更喜欢在 aws cli 或 cmd 中测试它，有没有办法验证轮换？跨度>
他们正在运行的命令是一个shell命令。他们通过jq 将调用结果传递给秘密管理器以获取SecretString，并将该值设置为secret。然后，您可以使用echo $secret 跟踪它并查看价值。您使用的是什么操作系统？
当然。如果你只是运行aws secretsmanager get-secret-value --secret-id xxxxxxx，它应该返回秘密对象，包括纯文本的秘密字符串。
谢谢，有没有办法测试旋转 Lambda？我的意思是，如果轮换不能如我们所愿，我们该如何解决这个问题？

标签： amazon-web-services aws-lambda credentials aws-secrets-manager

【解决方案1】：

您可以使用 aws cli 来验证凭证是否已轮换。

您还应该使用 MySQL 客户端进行验证，以验证您是否可以使用轮换凭据访问数据库 - https://docs.aws.amazon.com/secretsmanager/latest/userguide/tutorials_db-rotate.html#tut-db-rotate-step5

此命令 -secret=$(aws secretsmanager get-secret-value --secret-id xxxxxxx | jq .SecretString | jq fromjson) 是一个 Linux 命令，用于使用 aws cli 检索密钥值并将其分配给名为'secret'的shell变量

【讨论】：

谢谢，问题是我还是无法验证轮换是否成功（或轮换发生），我昨天找回了秘籍，把轮换频率设置为‘1天’，感觉好像不用等一整天才能重新找回，我发现SM控制台有一个按钮'立即旋转密码'，我按下它然后得到错误Fail to rotate the secret "xxxx" A previous rotation isn't complete. That rotation will be reattempted.。
当我使用这个命令 aws secretsmanager list-secret-version-ids --secret-id xxxx 它给了我两个 VersionStages("AWSCURRENT" & "AWSPREVIOUS") 但秘密中的密码（我从控制台检索到）没有改变，我错过了什么吗？
@Cecilia 您是否在 Lambda 的 CW 日志中看到此消息？ - github.com/aws-samples/aws-secrets-manager-rotation-lambdas/…