在部署 AWS Lambda 时保护敏感变量的方法

43次阅读

问题描述

在部署使用 NODEJS 编写的 AWS Lambda 时，需要使用敏感变量，但又不希望将这些变量明文存储在 Lambda 的变量部分，而是希望以加密形式进行部署。并且，即使是使用部署 Lambda 的机器也无法解密这些变量，只有拥有密钥的其他用户能够解密这些变量。

解决方案

在进行以下操作前，请确保你已经熟悉 AWS Lambda 和相关服务，并且做好了备份。

方案1：使用 AWS Secrets Manager

AWS 提供了 AWS Secrets Manager 来安全地存储和检索敏感信息，如 API 密钥、密码等。你可以使用该服务来存储敏感变量，并且只授权特定的角色或用户访问这些敏感变量。

以下是如何使用 AWS Secrets Manager 的步骤：
1. 在 AWS 控制台中打开 Secrets Manager。
2. 创建一个新的机密（secret），将你的敏感变量作为 secret 的值。
3. 为你的 Lambda 函数创建一个 IAM 角色，并附加允许访问 Secrets Manager 的策略。
4. 在 Lambda 函数代码中，使用 AWS SDK（如 AWS SDK for Node.js）来检索 Secret Manager 中的敏感变量。

以下是一个简单的示例代码，演示了如何在 Node.js 中使用 AWS SDK 检索 Secrets Manager 中的敏感变量：

const AWS = require('aws-sdk');
const secretsManager = new AWS.SecretsManager();

exports.handler = async (event, context) => {
    try {
        const secretName = 'your-secret-name'; // 替换为你的机密名称
        const data = await secretsManager.getSecretValue({ SecretId: secretName }).promise();
        const secretValue = JSON.parse(data.SecretString).yourSensitiveVariable; // 替换为你的敏感变量名称

        // 在这里使用 secretValue 进行操作
        // ...

        return {
            statusCode: 200,
            body: 'Success'
        };
    } catch (error) {
        console.error('Error:', error);
        return {
            statusCode: 500,
            body: 'Error'
        };
    }
};

在上述示例中，我们使用 AWS SDK 创建了一个 Secrets Manager 实例，然后使用 getSecretValue 方法从 Secrets Manager 检索敏感变量的值，并在 Lambda 函数中使用这些值进行操作。

方案2：自定义加密与解密逻辑

另一种方法是在部署脚本中自定义加密和解密逻辑。你可以使用加密算法对敏感变量进行加密，然后在 Lambda 函数中进行解密操作。这样，只有拥有解密密钥的用户才能够解密变量值。

请注意，这种方法可能需要你自己管理密钥和加密逻辑，增加了一定的复杂性。以下是一个简单的示例代码，演示了如何在部署脚本中加密敏感变量并在 Lambda 函数中解密：

#!/bin/bash

# 加密敏感变量
encrypted_variable=$(echo "$sensitive_variable" | openssl enc -aes-256-cbc -a -salt -pass pass:your_encryption_key)

# 部署 Lambda 函数
aws lambda create-function --function-name your-function \
--runtime nodejs14.x \
--role your-lambda-role \
--handler index.handler \
--code S3Bucket=your-bucket,S3Key=your-code-package.zip \
--environment Variables={ENCRYPTED_VARIABLE=$encrypted_variable}

在上述示例中，我们使用 OpenSSL 对敏感变量进行加密，并将加密后的值作为环境变量传递给 Lambda 函数。在 Lambda 函数中，你需要编写解密逻辑来解密变量值。

请注意，这种方法需要确保加密密钥的安全性，并且你需要确保解密逻辑的正确性。