如何在無服務器中保護AWS訪問密鑰

Question

我正在編寫連接到DynamoDB的無服務器應用程序。
目前，我正在從json文件讀取訪問密鑰ID和安全訪問密鑰。
我將使用Jenkins for CI，並且需要一種保護這些密鑰的方法。

我要做的是將鍵設置為環境變量，並在應用程序中讀取它們。 但是問題是我不知道每次啟動lambda函數時如何設置環境變量。

我讀過有一種方法可以在serverless.yml文件中配置它，但是不知道如何。

如何實現呢？

Answer 1

不要使用環境變量。 使用附加到lambda函數的IAM角色。 當您的函數運行時，AWS Lambda代表您擔任角色，並將憑據設置為環境變量。 您甚至不需要自己閱讀這些變量。 所有AWS開發工具包都將自動讀取這些環境變量。

Answer 2

關於無服務器安全性有一本很好的指南 ，除其他主題外，它也涵蓋了這一方面。 它類似於OWASP的前10名：

通常，最佳實踐是將AWS Secrets Manager與SSM參數存儲一起使用。