亚马逊AWS官方博客
·
使用 Amazon EventBridge 和 AWS Lambda 在 AWS Secrets Manager 自动创建和备份密钥历史版本
内容提要
AWS Secrets Manager 默认只保留一个历史版本，需手动管理暂存标签。本文介绍通过 Amazon EventBridge 和 AWS Lambda 自动创建和保留密钥历史版本的方案，支持跨区域和跨账号备份，简化操作流程。
关键要点
-
AWS Secrets Manager 默认只保留一个历史版本，需要手动管理暂存标签。
-
通过 Amazon EventBridge 和 AWS Lambda 可以自动创建和保留密钥历史版本，支持跨区域和跨账号备份。
-
方案自动生成 staging label，保留最新的 20 个历史版本，无需人工干预。
-
使用 Amazon EventBridge 捕捉密钥更新事件，触发 Lambda 处理事件并更新 staging label。
-
Lambda 函数会自动生成唯一标签，并在达到上限时删除最老版本的标签。
-
在 Lambda 函数中添加必要的 IAM 策略以允许访问 Secrets Manager。
-
通过 Amazon EventBridge 转发事件到目标区域和账号，实现跨区域跨账号备份。
-
利用 AWS Service Catalog 创建和管理 AWS CloudFormation 堆栈集，方便多账户和区域部署。
-
在目标账户创建 S3 桶并上传必要文件，确保桶策略允许访问。
-
通过 CloudFormation 创建新的堆栈，部署 Secrets Manager 备份方案。
-
在 Lambda 函数中配置环境变量以控制备份行为，确保密钥备份到目标区域和账号。
延伸解读
自动化管理的优势
通过使用 Amazon EventBridge 和 AWS Lambda，用户可以实现对 AWS Secrets Manager 中密钥历史版本的自动管理。这种自动化不仅减少了人工干预的需求，还降低了因人为错误导致的风险，确保密钥版本的及时更新和备份。
跨区域备份的实用性
该方案支持跨区域和跨账号的密钥备份，适合需要在多个地理位置存储数据的企业。这种灵活性使得企业能够更好地满足合规要求和灾难恢复需求，确保关键数据的安全性和可用性。
IAM 策略的重要性
在实施该方案时，确保 Lambda 函数具备适当的 IAM 策略至关重要。这些策略决定了 Lambda 函数对 Secrets Manager 的访问权限，错误的配置可能导致备份失败或数据泄露，因此需仔细审核和配置相关权限。
延伸问答
AWS Secrets Manager 默认保留多少个历史版本？
AWS Secrets Manager 默认只保留一个历史版本。
如何通过 Amazon EventBridge 和 AWS Lambda 自动管理密钥历史版本？
可以通过 Amazon EventBridge 捕捉密钥更新事件，触发 AWS Lambda 自动生成 staging label，保留最新的 20 个历史版本。
在 AWS Secrets Manager 中如何实现跨区域和跨账号的备份？
通过 Amazon EventBridge 转发事件到目标区域和账号，触发 Lambda 函数进行密钥备份和保存历史版本。
Lambda 函数在密钥备份中起什么作用？
Lambda 函数处理密钥更新事件，自动生成唯一标签并管理 staging label，确保保留最新的历史版本。
如何监控 AWS Lambda 函数的执行情况？
可以通过 AWS CloudWatch 设置告警通知，监控 Lambda 函数的执行情况，确保自动备份过程正常运行。
在 AWS Secrets Manager 中如何配置 IAM 策略以允许访问？
需要在 Lambda 函数的默认执行角色上添加策略，允许访问 Secrets Manager 的相关操作。
