💡
原文中文，约5500字，阅读约需13分钟。
📝
内容提要
AWS Secrets Manager 默认只保留一个历史版本，需手动管理暂存标签。本文介绍通过 Amazon EventBridge 和 AWS Lambda 自动创建和保留密钥历史版本的方案，支持跨区域和跨账号备份，简化操作流程。
🎯
关键要点
- AWS Secrets Manager 默认只保留一个历史版本，需要手动管理暂存标签。
- 通过 Amazon EventBridge 和 AWS Lambda 可以自动创建和保留密钥历史版本，支持跨区域和跨账号备份。
- 方案自动生成 staging label，保留最新的 20 个历史版本，无需人工干预。
- 使用 Amazon EventBridge 捕捉密钥更新事件，触发 Lambda 处理事件并更新 staging label。
- Lambda 函数会自动生成唯一标签，并在达到上限时删除最老版本的标签。
- 在 Lambda 函数中添加必要的 IAM 策略以允许访问 Secrets Manager。
- 通过 Amazon EventBridge 转发事件到目标区域和账号，实现跨区域跨账号备份。
- 利用 AWS Service Catalog 创建和管理 AWS CloudFormation 堆栈集，方便多账户和区域部署。
- 在目标账户创建 S3 桶并上传必要文件，确保桶策略允许访问。
- 通过 CloudFormation 创建新的堆栈，部署 Secrets Manager 备份方案。
- 在 Lambda 函数中配置环境变量以控制备份行为，确保密钥备份到目标区域和账号。
❓
延伸问答
AWS Secrets Manager 默认保留多少个历史版本？
AWS Secrets Manager 默认只保留一个历史版本。
如何通过 Amazon EventBridge 和 AWS Lambda 自动管理密钥历史版本？
可以通过 Amazon EventBridge 捕捉密钥更新事件，触发 AWS Lambda 自动生成 staging label，保留最新的 20 个历史版本。
在 AWS Secrets Manager 中如何实现跨区域和跨账号的备份？
通过 Amazon EventBridge 转发事件到目标区域和账号，触发 Lambda 函数进行密钥备份和保存历史版本。
Lambda 函数在密钥备份中起什么作用？
Lambda 函数处理密钥更新事件，自动生成唯一标签并管理 staging label，确保保留最新的历史版本。
如何监控 AWS Lambda 函数的执行情况？
可以通过 AWS CloudWatch 设置告警通知，监控 Lambda 函数的执行情况，确保自动备份过程正常运行。
在 AWS Secrets Manager 中如何配置 IAM 策略以允许访问？
需要在 Lambda 函数的默认执行角色上添加策略，允许访问 Secrets Manager 的相关操作。
➡️
