web-dev-qa-db-fra.com

Utilisation d'AWS Secrets Manager avec Python (Lambda Console)

J'essaie d'utiliser Secrets Manager une fonction Lambda dans AWS. Les secrets d'un gestionnaire sont utilisés pour stocker les informations d'identification de la base de données dans Snowflake (nom d'utilisateur, mot de passe).

J'ai réussi à configurer un secret dans Secrets Manager qui contient plusieurs paires clé/valeur (par exemple, une pour le nom d'utilisateur, une autre pour le mot de passe).

Maintenant, j'essaie de faire référence à ces valeurs dans mon Python. La documentation AWS fournit avec bonté l'extrait de code suivant:

import boto3
import base64
from botocore.exceptions import ClientError


def get_secret():

    secret_name = "MY/SECRET/NAME"
    region_name = "us-west-2"

    # Create a Secrets Manager client
    session = boto3.session.Session()
    client = session.client(
        service_name='secretsmanager',
        region_name=region_name
    )

    # In this sample we only handle the specific exceptions for the 'GetSecretValue' API.
    # See https://docs.aws.Amazon.com/secretsmanager/latest/apireference/API_GetSecretValue.html
    # We rethrow the exception by default.

    try:
        get_secret_value_response = client.get_secret_value(
            SecretId=secret_name
        )
    except ClientError as e:
        if e.response['Error']['Code'] == 'DecryptionFailureException':
            # Secrets Manager can't decrypt the protected secret text using the provided KMS key.
            # Deal with the exception here, and/or rethrow at your discretion.
            raise e
        Elif e.response['Error']['Code'] == 'InternalServiceErrorException':
            # An error occurred on the server side.
            # Deal with the exception here, and/or rethrow at your discretion.
            raise e
        Elif e.response['Error']['Code'] == 'InvalidParameterException':
            # You provided an invalid value for a parameter.
            # Deal with the exception here, and/or rethrow at your discretion.
            raise e
        Elif e.response['Error']['Code'] == 'InvalidRequestException':
            # You provided a parameter value that is not valid for the current state of the resource.
            # Deal with the exception here, and/or rethrow at your discretion.
            raise e
        Elif e.response['Error']['Code'] == 'ResourceNotFoundException':
            # We can't find the resource that you asked for.
            # Deal with the exception here, and/or rethrow at your discretion.
            raise e
    else:
        # Decrypts secret using the associated KMS CMK.
        # Depending on whether the secret is a string or binary, one of these fields will be populated.
        if 'SecretString' in get_secret_value_response:
            secret = get_secret_value_response['SecretString']
        else:
            decoded_binary_secret = base64.b64decode(get_secret_value_response['SecretBinary'])

    # Your code goes here.

Plus loin dans ma fonction def lambda_handler(event, context), j'ai l'extrait de code suivant pour établir une connexion à ma base de données:

        conn = snowflake.connector.connect(
            user=USERNAME,
            password=PASSWORD,
            account=ACCOUNT,
            warehouse=WAREHOUSE,
            role=ROLE
            )

Cependant, je ne parviens pas à comprendre comment utiliser la fonction get_secret() pour renvoyer des valeurs pour des paramètres tels que USERNAME ou PASSWORD.

Comment cela peut-il être accompli? Merci pour l'aide!

pythonamazon-web-servicesaws-lambdaaws-secrets-manager
8
jeff

J'ai créé une bibliothèque open source appelée pysecret, voici la documentation de l'intégration d'AWS Secret Manager: https://github.com/MacHu-GWU/pysecret-project#aws-key-management-service-and-secret- gestionnaire-intégration

Je peux vous expliquer la manière la plus simple de le faire:

  1. mettez manuellement votre valeur secrète dans json ou créez-en une avec pysecret.
from pysecret import AWSSecret

aws_profile = "my_aws_profile"
aws = AWSSecret(profile_name=aws_profile)

secret_id = "my-example-secret"
secret_data = {
    "Host": "www.example.com",
    "port": 1234,
    "database": "mydatabase",
    "username": "admin",
    "password": "mypassword",
    "metadata": {
        "creator": "Alice"
    }
}
aws.deploy_secret(name=secret_id, secret_data=secret_data) # or you can pass kms_key_id if you created a custom kms key

Ensuite, vous devriez pouvoir voir le secret créé dans votre console aws.

  1. lisez votre valeur secrète dans la fonction lambda ou dans l'un de vos codes python .
aws = AWSSecret(profile_name=aws_profile) # in lambda code, don't need ``profile_name=aws_profile``
password = aws.get_secret_value(secret_id="my-example-secret", key="password") # mypassword
creator = aws.get_secret_value(secret_id="my-example-secret", key="metadata.creator") # Alice

REMARQUE, Obligation de rôle Lambda de la fonction Lambda pour accéder au secret

  1. votre rôle Lambda IAM doit avoir un accès en lecture à Secret Manager. la politique intégrée aws arn: aws: iam :: aws: policy/SecretsManagerReadWrite a à la fois en lecture et en écriture, si vous êtes paresseux, vous pouvez l'utiliser. Mais je vous recommande de créer une stratégie personnalisée ne dispose que de l'accès en lecture.
  2. si vous utilisez la clé kms générée automatiquement pour votre secret, vous devez utiliser aws kms create-grant commande pour accorder au rôle IAM de la fonction Lambda l'accès à la clé kms pour le chiffrement, voici comment https://docs.aws.Amazon.com/cli/latest/reference/kms/create-grant.html
  3. si vous utilisez une clé kms personnalisée, vous devriez pouvoir modifier l'utilisateur de votre clé kms, sélectionnez le rôle IAM de la fonction Lambda dans votre console aws.

J'espère que ça répond à ta question.

Si cette aide, veuillez lancer mon projet https://github.com/MacHu-GWU/pysecret-project .

0
MacSanhe

AWS fournit un modèle pour certains moteurs de base de données pris en charge tels que MySQL, etc., veuillez consulter ceci modèle :

Pour les bases de données non prises en charge, vérifiez this

Le modèle fourni ci-dessus vous donnera un exemple de personnalisation pour votre propre fonction.

0
Cecilia
  • Voici comment je l'ai utilisé en utilisant arn, après ce bloc j'espère que cela vous aide.
  • Il vaut la peine de vérifier ce que vous avez utilisé pour stocker et en conséquence utiliser un SecretString ou SecretBinary
    secrets_client = boto3.client('secretsmanager')
    secret_arn = 'arn:aws:secretsmanager:eu-west-2:xxxxxxxxxxxx:secret:dashboard/auth_token'
    auth_token = secrets_client.get_secret_value(SecretId=secret_arn).get('SecretString')
  • documents boto
  • get_secret_value Récupère le contenu des champs chiffrés SecretString ou SecretBinary de la version spécifiée d'un secret, selon le contenu.
  • Votre rôle lambda doit disposer des autorisations suivantes en fonction de ce qui est utilisé
    • secretsmanager:GetSecretValue
    • kms:Decrypt requis uniquement si vous utilisez une clé AWS KMS gérée par le client pour crypter le secret. Vous n'avez pas besoin de cette autorisation pour utiliser la clé CMK gérée par AWS par défaut du compte pour Secrets Manager.
0
Amit T. Nagmode