amazon-web-services - 为 AWS EC2 用户数据脚本传递 API key 的最佳方法是什么

Question

我有 bash 脚本在启动 EC2 实例时作为 用户数据脚本 运行。为此，我需要传递外部 API 访问 key ID 和 key 。我不想将这些 key 存储在我的用户数据脚本中，因为它以纯文本形式可见。有什么方法可以将这些 key 存储在 AWS Secret Manager 等某个地方并在用户数据脚本中使用它？

Answer 1

我建议将其存储在 Secrets Manager 中或 SSM Parameter Store .

您需要在用户数据脚本中使用 CLI 来检索值。

对于 SSM，您可以使用 get-parameter 检索 secret 功能。

secret=$(aws ssm get-parameter --name "MyStringParameter")

对于 Secrets Manager，您可以使用 get-secret-value 检索 key 功能。

secret=$(aws secretsmanager get-secret-value --secret-id MyTestDatabaseSecret)

然后在你的 bash 脚本中，当你想引用它时，你只需要使用变量 $secret实际替换为您的 secret 。

如果您决定使用其中任何一个，您需要确保 EC2 实例具有 IAM role附加到具有正确策略的实例以应用您所需的权限。

或者如果这是一个经常发生的过程(例如自动缩放的实例)，那么您应该提前配置基础服务器镜像 (AMI)，然后将其作为源AMI。

使用 Ansible、Chef 和 Puppet 等工具，您可以使用您的 secret 配置基本镜像，这将取代 UserData 中执行任何操作的任何需要。因为它会提前可用。