将凭证从 Bitbucket 存储并传递到 AWS Lambda

Question

问题描述：我在 Bitbucket 中有一个 python 代码，它被部署到 AWS 以作为 lambda ZC1C425268E68385D1ABZA49 执行。 设置基于本指南： https://bitbucket.org/blog/aws-lambda-deployments-using-bitbucket-pipelines-and-pipes

在 python 代码中，我计划使用凭据（例如用于数据库访问），而源代码显然是存储它们的错误位置。

将凭证传递给 lambda function 的推荐存储位置和方法是什么？

应该是 Bitbucket 的存储库变量吗？ 如果是，那么我如何将它们传递给 lambda 函数的代码？

还是应该是 AWS Lambda 环境变量？ 那么同样的问题。

Answer 1

您可以将它们存储在AWS SSM 参数存储中并在运行时获取它们。

这样你就可以管理谁可以访问它。 将其放入环境变量中将以纯文本形式向任何可以看到它的人显示该秘密。

我的结构方式是这样的：

1. 将秘密放入加密的 SSM 参数中，这使用 KMS 密钥
2. 让您的 lambda 访问 SSM 参数和通过 IAM 使用的 KMS 密钥
3. 在 lambda ENV 或配置文件中放置 SSM 参数的路径
4. 在 lambda 在启动期间获取参数并将其放入一些 static 变量，以便相同的其他执行（非冷启动） lambda 不需要再次获取它