替代/配置 AWS 机密管理器

Question

目前，我们的安全工程团队不允许在 Secrets Manager 中写入，但可以读取。

我们有一个通用的 lambda 角色，它也被其他模块使用。

1. 有没有办法配置仅限于特定秘密的写作？
2. AWS 机密管理器的替代品。

Answer 1

1. 有没有办法配置仅限于特定秘密的写作？

是的。 该官方文档展示了如何仅授予对特定机密的读取权限。 你可以用写访问做同样的事情。

2. AWS 机密管理器的替代品。

AWS SSM 参数存储

Answer 2

强烈建议使用 Secrets Manager 或 SSM Parameter Store 来存储机密，但也有其他非 AWS 替代方案，例如 Hashicorp 的 Vault。 它可以从 AWS Marketplace ( https://aws.amazon.com/marketplace/pp/prodview-ngzq6n42psnxa ) 找到或从供应商网站 ( https://www.vaultproject.io/ ) 下载。

在生产环境中使用之前，不要忘记询问安全团队的审核和批准。 :-)