aws-cloudformation - 自动轮换 AppSync API key

Question

CloudFormation 提供 AWS::AppSync::ApiKey用于在 CloudFormation 堆栈中创建 AppSync API key 的资源类型。 API key 将过期。有没有一种简单的方法可以在 CloudFormation 中定义轮换计划？我没有看到任何东西，但它似乎是一个如此明显的用例，我不确定如果没有它，AWS::AppSync::ApiKey 资源类型有什么好处。

目前，我有一个 lambda，它按计划运行以生成新 key 并将其存储在 SecretsManager 中。这可行，但这是一个额外的步骤，而且我必须第一次手动运行 lambda。我对替代方案持开放态度。

Answer 1

您不想创建 AWS::AppSync::ApiKey。而是创建一个 AWS::SecretsManager::Secret 和 AWS::SecretsManager::RotationSchedule。 RotationSchedule 将允许您使用 lambda 自动轮换 ApiKey 并将其存储在 Secret 中。

最终，AWS::AppSync::ApiKey 对您来说没有什么实际用处，因为您需要处理过期问题。