从 lambda 函数中访问 AWS API？

Question

我正在编写我的第一个 lambda 函数（在 Python 中），我对凭据在 lambda 环境中应该如何工作感到有些困惑。 我正在尝试从 aws secrets api 中检索一个秘密（用于 Aurora 数据库访问），使用他们的示例代码，看起来像这样（为了简洁，我已经删除了所有错误处理）：

def get_secret():
    secret_name = 'dbtest-postgres-secret'
    region_name = 'us-east-2'

    session = boto3.session.Session()                                                                                                                                                          
    client = session.client(                                                                                                                                                                   
        service_name='secretsmanager',                                                                                                                                                         
        region_name=region_name                                                                                                                                                                
    )                                                                                                                                                                                          

    get_secret_value_response = client.get_secret_value(                                                                                                                                   
        SecretId=secret_name                                                                                                                                                               
    )                                                                                                                                                                                      

    secret = get_secret_value_response['SecretString']

    return secret

这在我拥有普通 AWS 凭证的环境中在本地运行良好，但在作为 lambda 函数的一部分运行时返回 None 而不会引发任何错误。 我是这样使用它的：

def handler(event, context):
    secret = get_secret()
    assert secret is not None

它在该assert声明中失败了：

{
  "errorType": "AssertionError",
  "stackTrace": [
    "  File \"/var/task/dbtest.py\", line nn, in handler\n    assert secret is not None\n"
  ]
}

我假设通过将角色分配给具有适当权限（ AmazonRDSDataFullAccess ，包括访问机密管理器的权限）的 lambda 函数，所有内容都将被设置。 我是否需要向 lambda 函数提供显式凭据（例如，访问密钥和机密）？

Answer 1

您不需要提供明确的凭据，lambda 将从您分配给它的角色中获取凭据。 您要求的秘密是什么，因为AmazonRDSDataFullAccess只能访问rds-db-credentials/*秘密。