如何在无服务器中保护AWS访问密钥

Question

我正在编写连接到DynamoDB的无服务器应用程序。
目前，我正在从json文件读取访问密钥ID和安全访问密钥。
我将使用Jenkins for CI，并且需要一种保护这些密钥的方法。

我要做的是将键设置为环境变量，并在应用程序中读取它们。 但是问题是我不知道每次启动lambda函数时如何设置环境变量。

我读过有一种方法可以在serverless.yml文件中配置它，但是不知道如何。

如何实现呢？

Answer 1

不要使用环境变量。 使用附加到lambda函数的IAM角色。 当您的函数运行时，AWS Lambda代表您担任角色，并将凭据设置为环境变量。 您甚至不需要自己阅读这些变量。 所有AWS开发工具包都将自动读取这些环境变量。

Answer 2

关于无服务器安全性有一本很好的指南 ，除其他主题外，它也涵盖了这一方面。 它类似于OWASP的前10名：

通常，最佳实践是将AWS Secrets Manager与SSM参数存储一起使用。