AWS SAM 使用动态引用从 Secret Manager 检索密钥值

Question

我一直在关注 AWS 的 this 官方文档，了解如何将存储在 Secret Manager 中的 SAM template.yaml 文件中的机密信息告诉我们，这就是我所做的：

 Environment:
        Variables:
          DUMMY_VARIABLE: '{{resolve:secretsmanager:dummy/secret:SecretString:key1}}'

一切正常，我可以看到正在检索机密，但是，如果我更改机密管理器中的机密值，并通过 sam deploy 命令重新部署 Lambda 函数，则即将到来的环境变量的值来自 Secret Manager 的信息保持不变。

我没有指定版本阶段或版本 ID，但我可以通过指定密钥的版本 ID 来解决问题，如下所示：

DUMMY_VARIABLE: '{{resolve:secretsmanager:dummy/secret:SecretString:key3::VERSION_ID_OF_THE_SECRET}}'

根据AWS官方文档：

如果你不 指定版本阶段或版本 ID，则默认为 检索版本阶段值为 AWSCURRENT 的版本。

我的期望是它应该从 Secret Manager 获取当前值，而不必指定版本 ID 和阶段，但它似乎没有发生！

Answer 1

same page上有这么一段话：

在 Secrets Manager 中更新密钥不会自动更新 CloudFormation 中的密钥。为了让 CloudFormation 更新 secretsmanager 动态引用，您必须执行堆栈更新以更新包含动态引用的资源，方法是更新包含 secretsmanager 动态引用的资源属性，或更新资源的另一个属性。例如，假设在您的模板中，您将 AWS::RDS::DBInstance 资源的 MasterPassword 属性指定为 secretsmanager 动态引用，然后从模板创建堆栈。您稍后会在 Secret Manager 中更新该密钥的值，但不要更新模板中的 AWS::RDS::DBInstance 资源。在这种情况下，即使您执行堆栈更新，MasterPassword 属性中的秘密值也不会更新，而是保持之前的秘密值。

因此，不幸的是，秘密值存储在堆栈本身中。您可能需要在需要使用它的代码中通过 API 显式获取秘密值。