[英]Pass secure SSM parameter to a nested CloudFormation stack
我有一个描述数据库及其相关资源的嵌套 CloudFormation 堆栈模板。 我需要为各种环境(例如stage
、 qa
、 prod
)创建多个数据库。
我将每个环境的数据库密码存储在 SSM 参数存储中作为安全字符串,例如:
/acme/stage/DB_PASSWORD
/acme/qa/DB_PASSWORD
/acme/prod/DB_PASSWORD
我试图解析父模板中的 SSM 参数并将其传递给嵌套堆栈,但它看起来不起作用。
# parent.template
StageDatabaseStack:
Type: AWS::CloudFormation::Stack
Properties:
TemplateURL: "…/database.template"
Parameters:
DatabasePassword: '{{resolve:ssm-secure:/acme/stage/DB_PASSWORD:1}}'
QaDatabaseStack:
Type: AWS::CloudFormation::Stack
Properties:
TemplateURL: "…/database.template"
Parameters:
DatabasePassword: '{{resolve:ssm-secure:/acme/qa/DB_PASSWORD:1}}'
ProdDatabaseStack:
Type: AWS::CloudFormation::Stack
Properties:
TemplateURL: "…/database.template"
Parameters:
DatabasePassword: '{{resolve:ssm-secure:/acme/prod/DB_PASSWORD:1}}'
# database.template
AWSTemplateFormatVersion: "2010-09-09"
Parameters:
DatabasePassword:
Type: String
Resources:
Database:
Type: AWS::RDS::DBInstance
Properties:
MasterUserPassword: !Ref DatabasePassword
这种方法给了我一个错误:
调用 CreateStack 操作时发生错误 (ValidationError):[AWS::CloudFormation::Stack/Properties/Parameters/DatabasePassword] 中不支持 SSM 安全引用
根据docs ,也可以将密码参数定义为特殊的AWS::SSM::Parameter::Value<String>
类型,但声明如下:
AWS CloudFormation 不支持将模板参数定义为 SecureString Systems Manager 参数类型。
我实际上尝试过使用它,但它给了我一个错误:
模板引用的参数 [/acme/stage/DB_PASSWORD] 具有 CloudFormation 不支持的类型。
那么,在这种情况下,我如何实际将安全数据库密码传递给数据库资源? 我想使用一个 CloudFormation 模板来管理所有三个数据库及其相关资源。
尝试:
'{{resolve:ssm-secure:/acme/stage/DB_PASSWORD:1}}'
即带撇号。 请参阅文档中的 YAML 示例:
MyS3Bucket:
Type: 'AWS::S3::Bucket'
Properties:
AccessControl: '{{resolve:ssm:S3AccessControl:2}}'
将安全 SSM 参数传递给我发现的嵌套堆栈的唯一方法是将其作为字符串传递,而不是尝试使用更合理的AWS::SSM::Parameter::Value<String>
然后解析安全通过使用!Sub
函数构建动态引用,嵌套堆栈中的值。
这是一个工作示例:
# parent.template
StageDatabaseStack:
Type: AWS::CloudFormation::Stack
Properties:
Parameters:
DatabasePasswordSsmKey: "/acme/stage/DB_PASSWORD:1"
ProdDatabaseStack:
Type: AWS::CloudFormation::Stack
Properties:
Parameters:
DatabasePasswordSsmKey: "/acme/prod/DB_PASSWORD:1"
# database.template
Parameters:
DatabasePasswordSsmKey:
Description: SSM property key for database password
Type: String
Database:
Type: AWS::RDS::DBInstance
Properties:
MasterUserPassword: !Sub "{{resolve:ssm-secure:${DatabasePasswordSsmKey}}}"
声明:本站的技术帖子网页,遵循CC BY-SA 4.0协议,如果您需要转载,请注明本站网址或者原文地址。任何问题请咨询:yoyou2525@163.com.