amazon-web-services - 使用 CloudFormation(和 Lambda 轮换模板)进行 Aurora Serverless 密码轮换设置

Question

AWS 为 some supported RDS engines 提供完全配置且随时可用的轮换支持，包括 Amazon Aurora(也是无服务器？)

我正在尝试使用 AWS::SecretsManager::RotationSchedule 在我的 CloudFormation 模板中设置密码轮换(请注意，这不是一个功能齐全的模板，只是一个说明):

  DBCluster:
    Type: AWS::RDS::DBCluster
    Properties:
      Engine        : aurora
      EngineMode    : serverless
      EngineVersion : 5.6.10a

  Secret:
    Type: AWS::SecretsManager::Secret
    Properties:
      GenerateSecretString:
        SecretStringTemplate: '{"username": "admin"}'
        GenerateStringKey: password
        PasswordLength: 20
        ExcludeCharacters: '"@/\'

  SecretTargetAttachment:
    Type: AWS::SecretsManager::SecretTargetAttachment
    Properties:
      SecretId: !Ref Secret
      TargetId: !Ref DBCluster
      TargetType: AWS::RDS::DBCluster

  SecretRotation:
    Type: AWS::SecretsManager::RotationSchedule
    Properties:
      SecretId: !Ref UserAdminSecret
      RotationLambdaARN: <ARN_GET_FROM_SERVERLESS_APPLICATION_REPOSITORY>
      RotationRules:
        AutomaticallyAfterDays: 1

但是 AWS Lambda 轮换函数失败并显示以下消息:

"Database engine must be set to 'mysql' in order to use this rotationlambda": KeyError

AWS 提供的 AWS Lambda 轮换函数似乎不支持 Aurora Serverless。

是否有一种简单的方法可以使用 existing Lambda rotation templates 设置 Aurora Serverless secret 轮换？

有任何示例可以为 Aurora Serverless 编写我自己的轮换函数吗？

PS:这个问题有点与Creating an Aurora Serverless Cluster from cloudformation?相关。

Answer 1

RotationSchedule 资源依赖于 SecretTargetAttachment 资源。附件资源更新您的 secret 字符串值以包含连接信息，例如数据库引擎、端口和端点。

不幸的是，CloudFormation 无法了解这两个资源之间的这种隐式依赖关系。您需要输入 DependsOn在带有附件资源逻辑 ID 的 RotationSchedule 资源上。

请参阅本示例中的 RotationSchedule 资源 - https://docs.aws.amazon.com/AWSCloudFormation/latest/UserGuide/aws-resource-secretsmanager-rotationschedule.html#aws-resource-secretsmanager-rotationschedule--examples