aws-cloudformation - 云形成的 secret

Question

我想坚持“所有基础设施都是代码”的政策。但是，我看不到使用 CloudFormation 来实现 secret 的方法。

SecretsManager 要求您以纯文本形式指定 SecretString。即使您从某处注入(inject)解密的值，纯文本字符串也会显示在 CF 控制台的模板 View 中:/

在SSM中也不可能使用加密字符串。文档说:“AWS CloudFormation 不支持创建 SecureString 参数类型。”

真的没有办法使用 CloudFormation 来安全地以代码形式管理 secret 吗？

Answer 1

您可以使用Secret CloudFormation 中的资源来创建 SecretsManager key 。有一种方法可以在 SecretString 中生成值(使用 GenerateRandomPassword API)。看GenerateSecretString属性。

这应该可以帮助您生成密码，而无需将其硬编码在模板中。

还有一个RotationSchedule资源可帮助您为您的 secret 设置自动轮换。

要使用 SecretsManager secret 或 Parameter Store 参数中存储的 secret 值，请使用 dynamic references 。动态引用保证 secret 值不会记录在 CFN 中或显示在控制台中。

无法创建/生成 SecureString当前 Parameter Store/Systems Manager 中的参数。