將憑證從 Bitbucket 存儲並傳遞到 AWS Lambda

Question

問題描述：我在 Bitbucket 中有一個 python 代碼，它被部署到 AWS 以作為 lambda ZC1C425268E68385D1ABZA49 執行。 設置基於本指南： https://bitbucket.org/blog/aws-lambda-deployments-using-bitbucket-pipelines-and-pipes

在 python 代碼中，我計划使用憑據（例如用於數據庫訪問），而源代碼顯然是存儲它們的錯誤位置。

將憑證傳遞給 lambda function 的推薦存儲位置和方法是什么？

應該是 Bitbucket 的存儲庫變量嗎？ 如果是，那么我如何將它們傳遞給 lambda 函數的代碼？

還是應該是 AWS Lambda 環境變量？ 那么同樣的問題。

Answer 1

您可以將它們存儲在AWS SSM 參數存儲中並在運行時獲取它們。

這樣你就可以管理誰可以訪問它。 將其放入環境變量中將以純文本形式向任何可以看到它的人顯示該秘密。

我的結構方式是這樣的：

1. 將秘密放入加密的 SSM 參數中，這使用 KMS 密鑰
2. 讓您的 lambda 訪問 SSM 參數和通過 IAM 使用的 KMS 密鑰
3. 在 lambda ENV 或配置文件中放置 SSM 參數的路徑
4. 在 lambda 在啟動期間獲取參數並將其放入一些 static 變量，以便相同的其他執行（非冷啟動） lambda 不需要再次獲取它