AWS Secrets Manager 교체 문제 해결

Lambda 함수에 대한 CloudWatch 로그를 보려면

1. http://console.aws.amazon.com/secretsmanager/에서 Secrets Manager 콘솔을 엽니다.

2. 보안 암호를 선택한 다음 세부 정보 페이지의 교체 구성(Rotation configuration)에서 Lambda 교체 함수를 선택합니다. Lambda 콘솔이 열립니다.

3. 모니터링(Monitor) 탭에서 로그(Logs)를 선택한 후 CloudWatch에서 로그 보기(View logs in CloudWatch)를 선택합니다.

   CloudWatch 콘솔이 열리고 함수에 대한 로그가 표시됩니다.

Python 3.7을 사용하는 Lambda 교체 함수를 찾으려면

1. 에 로그인 AWS Management Console 하고 http://console.aws.amazon.com/lambda/://http://http://http://http://http://http://http://://http AWS Lambda ://://http://http

2. 함수 목록에서 SecretsManager 를 필터링합니다.

3. 필터링된 함수 목록의 런타임에서 Python 3.7을 찾습니다.

교체 함수를 생성한 AWS CloudFormation 스택을 찾으려면

• Lambda 함수 세부 정보 페이지의 구성 탭에서 태그를 선택합니다. aws:cloudformation:stack-id 옆의 ARN을 확인합니다.

  스택 이름은 다음 예와 같이 ARN에 포함되어 있습니다.

  • ARN: arn:aws:cloudformation:us-west-2:408736277230:stack/SecretsManagerRDSMySQLRotationSingleUser5c2-SecretRotationScheduleHostedRotationLambda-3CUDHZMDMBO8/79fc9050-2eef-11ed-80f0-021fb13c0537

  • 스택 이름: SecretsManagerRDSMySQLRotationSingleUser5c2-SecretRotationScheduleHostedRotationLambda

교체 함수를 다시 생성하려면(AWS CloudFormation)

1. 에서 이름으로 스택을 AWS CloudFormation검색한 다음 업데이트를 선택합니다.

   루트 스택 업데이트를 권장하는 대화 상자가 나타나면 루트 스택으로 이동을 선택한 다음 업데이트를 선택합니다.

2. 스택 업데이트 페이지의 템플릿 준비 에서 Application Composer에서 편집을 선택한 다음, Application Composer에서 템플릿 편집에서 Application Composer에서 편집 버튼을 선택합니다.

3. Application Composer에서 다음을 수행합니다.

   1. 템플릿 코드에 있는 SecretRotationScheduleHostedRotationLambda의 "functionName": "SecretsManagerTestRotationRDS" 값을 새 함수 이름(예: JSON의 경우 "functionName": "SecretsManagerTestRotationRDSupdated")으로 바꿉니다.

   2. 템플릿 업데이트를 선택합니다.

   3. AWS CloudFormation계속하기 대화 상자에서 확인 후 AWS CloudFormation계속 진행을 선택하여 계속합니다.

4. AWS CloudFormation 스택 워크플로를 계속 진행한 다음 제출을 선택합니다.

교체 함수를 생성한 AWS CloudFormation 스택을 찾으려면

• Lambda 함수 세부 정보 페이지의 구성 탭에서 태그를 선택합니다. aws:cloudformation:stack-id 옆의 ARN을 확인합니다.

  스택 이름은 다음 예와 같이 ARN에 포함되어 있습니다.

  • ARN: arn:aws:cloudformation:us-west-2:408736277230:stack/SecretsManagerRDSMySQLRotationSingleUser5c2-SecretRotationScheduleHostedRotationLambda-3CUDHZMDMBO8/79fc9050-2eef-11ed-80f0-021fb13c0537

  • 스택 이름: SecretsManagerRDSMySQLRotationSingleUser5c2-SecretRotationScheduleHostedRotationLambda

교체 함수의 런타임을 업데이트하려면(AWS CloudFormation)

1. 에서 이름으로 스택을 AWS CloudFormation검색한 다음 업데이트를 선택합니다.

   루트 스택 업데이트를 권장하는 대화 상자가 나타나면 루트 스택으로 이동을 선택한 다음 업데이트를 선택합니다.

2. 스택 업데이트 페이지의 템플릿 준비 에서 Application Composer에서 편집을 선택한 다음, Application Composer에서 템플릿 편집에서 Application Composer에서 편집 버튼을 선택합니다.

3. Application Composer에서 다음을 수행합니다.

   1. 템플릿 JSON에서 SecretRotationScheduleHostedRotationLambda의 경우 Properties 아래의 Parameters에서 "runtime": "python3.9"을 추가합니다.

   2. 템플릿 업데이트를 선택합니다.

   3. AWS CloudFormation계속하기 대화 상자에서 확인 후 AWS CloudFormation계속 진행을 선택하여 계속합니다.

4. AWS CloudFormation 스택 워크플로를 계속 진행한 다음 제출을 선택합니다.

포함되도록 Lambda 교체 함수 업데이트 RotationToken

1. Lambda 함수 코드 다운로드

   • Lambda 콘솔 열기

   • 탐색 창에서 함수를 선택합니다.

   • 함수 이름에 대한 Lambda 보안 암호 교체 함수 선택

   • 다운로드에서 함수 코드 .zip, AWS SAM 파일, 둘 다 중 하나를 선택합니다.

   • 확인을 선택하여 로컬 시스템에 함수를 저장합니다.

2. Lambda_handler 편집

   교차 계정 교체를 위해 create_secret 단계에 rotation_token 파라미터를 포함합니다.

   
   def lambda_handler(event, context):
       """Secrets Manager Rotation Template
   
       This is a template for creating an AWS Secrets Manager rotation lambda
   
       Args:
           event (dict): Lambda dictionary of event parameters. These keys must include the following:
               - SecretId: The secret ARN or identifier
               - ClientRequestToken: The ClientRequestToken of the secret version
               - Step: The rotation step (one of createSecret, setSecret, testSecret, or finishSecret)
               - RotationToken: the rotation token to put as parameter for PutSecretValue call
   
           context (LambdaContext): The Lambda runtime information
   
       Raises:
           ResourceNotFoundException: If the secret with the specified arn and stage does not exist
   
           ValueError: If the secret is not properly configured for rotation
   
           KeyError: If the event parameters do not contain the expected keys
   
       """
       arn = event['SecretId']
       token = event['ClientRequestToken']
       step = event['Step']
       # Add the rotation token
       rotation_token = event['RotationToken']
   
       # Setup the client
       service_client = boto3.client('secretsmanager', endpoint_url=os.environ['SECRETS_MANAGER_ENDPOINT'])
   
       # Make sure the version is staged correctly
       metadata = service_client.describe_secret(SecretId=arn)
       if not metadata['RotationEnabled']:
           logger.error("Secret %s is not enabled for rotation" % arn)
           raise ValueError("Secret %s is not enabled for rotation" % arn)
       versions = metadata['VersionIdsToStages']
       if token not in versions:
           logger.error("Secret version %s has no stage for rotation of secret %s." % (token, arn))
           raise ValueError("Secret version %s has no stage for rotation of secret %s." % (token, arn))
       if "AWSCURRENT" in versions[token]:
           logger.info("Secret version %s already set as AWSCURRENT for secret %s." % (token, arn))
           return
       elif "AWSPENDING" not in versions[token]:
           logger.error("Secret version %s not set as AWSPENDING for rotation of secret %s." % (token, arn))
           raise ValueError("Secret version %s not set as AWSPENDING for rotation of secret %s." % (token, arn))
       # Use rotation_token
       if step == "createSecret":
           create_secret(service_client, arn, token, rotation_token)
   
       elif step == "setSecret":
           set_secret(service_client, arn, token)
       
       elif step == "testSecret":
           test_secret(service_client, arn, token)
           
       elif step == "finishSecret":
           finish_secret(service_client, arn, token)
           
       else:
           raise ValueError("Invalid step parameter")            
             

3. create_secret 코드 편집

   rotation_token 파라미터를 수락하고 사용하도록 create_secret 함수를 수정합니다.

   
   # Add rotation_token to the function
   def create_secret(service_client, arn, token, rotation_token):
   """Create the secret
   
   This method first checks for the existence of a secret for the passed in token. If one does not exist, it will generate a
   new secret and put it with the passed in token.
   
   Args:
   service_client (client): The secrets manager service client
   
   arn (string): The secret ARN or other identifier
   
   token (string): The ClientRequestToken associated with the secret version
   
   rotation_token (string): the rotation token to put as parameter for PutSecretValue call
   
   Raises:
   ResourceNotFoundException: If the secret with the specified arn and stage does not exist
   
   """
   # Make sure the current secret exists
   service_client.get_secret_value(SecretId=arn, VersionStage="AWSCURRENT")
   
   # Now try to get the secret version, if that fails, put a new secret
   try:
   service_client.get_secret_value(SecretId=arn, VersionId=token, VersionStage="AWSPENDING")
   logger.info("createSecret: Successfully retrieved secret for %s." % arn)
   except service_client.exceptions.ResourceNotFoundException:
   # Get exclude characters from environment variable
   exclude_characters = os.environ['EXCLUDE_CHARACTERS'] if 'EXCLUDE_CHARACTERS' in os.environ else '/@"\'\\'
   # Generate a random password
   passwd = service_client.get_random_password(ExcludeCharacters=exclude_characters)
   
   # Put the secret, using rotation_token
   service_client.put_secret_value(SecretId=arn, ClientRequestToken=token, SecretString=passwd['RandomPassword'], VersionStages=['AWSPENDING'], RotationToken=rotation_token)
   logger.info("createSecret: Successfully put secret for ARN %s and version %s." % (arn, token))
             

4. 업데이트된 Lambda 함수 코드 업로드

   Lambda 함수 코드를 업데이트한 후 업로드하여 보안 암호를 교체합니다.