aws-cloudformation - 是否有一种机制可以从云形成模板中创建的实例中获取值

Question

我有一个云形成模板，它正在启动一系列 3 个 EC2 实例。第一个实例生成一个加密 key ，其他 2 个实例需要该 key 才能与第一个实例进行通信。

寻找一种可以使用的机制，以便云形成模板可以启动第一个实例，运行脚本来创建 key ，并收集值以传递给接下来的两个节点以启动它们。我可以使用等待条件来允许延迟，但无法干净地取回 key 字符串。

确实有办法做到这一点 - 但它看起来像是一个黑客: - 将第一台服务器附加到有权写入 S3 存储桶的角色；让实例将其保存在那里。 - 将第二个和第三个服务器附加到有权读取所述存储桶的角色；把它捡起来。

我是否缺少最佳实践？

Answer 1

我有一篇博客文章，内容可能对这里有帮助:

http://krogebry.blogspot.com/2014/12/chef-aws-kms_13.html

基本上，我使用 KMS 来托管一个用于解密 Chef 数据包的特殊 key 。

在您的情况下，我可能会修改类似的内容以在 CF 中创建 key ，或者有一个预启动任务来生成 key ，然后将 key 数据传递给创建的客户端。这样您就可以利用 KMS 的实用程序，而无需在 S3 中实际存储特殊 key 。