amazon-web-services - 在 AWS Lambda 包中存储机密

Question

我目前正在我的 Lambda 中存储一个 Google Cloud 私钥文件。它从源代码控制中排除，并在上传到 AWS 之前打包到最终的 lambda zip 文件中。

这安全吗？

我知道由于各种原因（出现在日志中等），在环境变量中存储秘密是一个坏主意，但我目前不知道我这样做的方式是否不好（我的知识空白）。

我知道 KMS 存在用于加密机密，但使用它似乎需要做更多的工作，并且每次调用我的 lambda 时（或每次我的 lambda 获取新的执行上下文时）都必须请求解密文件似乎效率低下。

标签： amazon-web-servicesaws-lambdaaws-kms

Answer 1

参数存储可用于存储AWS Service: Systems Manager提供的密码/秘密文本。

以下是示例：

IAM 策略可以限制对这些密码的访问，遵循 IAM 策略指南 参数存储

可以附加一个 Lambda 角色，您可以通过该角色查询密码/秘密文本。无需文件解密。只需 1/2 API 调用。