CDK安全方案：如何在API Gateway事件目标中安全传入密钥？

当前直接在headerParameters中引用Secrets Manager明文值的方式，会导致密钥在CloudFormation模板、控制台中明文暴露，存在严重安全风险。最优解决方案是通过Lambda作为中间代理，在运行时安全获取密钥并转发请求，具体实现如下：

1. 编写Lambda代理函数 #

Lambda负责从Secrets Manager读取密钥，构造请求调用目标API，避免密钥暴露在静态配置中：

import { SecretsManagerClient, GetSecretValueCommand } from "@aws-sdk/client-secrets-manager";
import axios from "axios";

const secretsClient = new SecretsManagerClient({ region: process.env.AWS_REGION });

export const handler = async (event: any) => {
  // 从Secrets Manager获取密钥
  const secretResp = await secretsClient.send(new GetSecretValueCommand({
    SecretId: process.env.SECRET_ARN!
  }));
  const secret = JSON.parse(secretResp.SecretString!);
  const apiKey = secret.password;

  // 转发请求到目标API
  try {
    await axios.post(`${process.env.TARGET_API_URL}/key`, event.detail, {
      headers: {
        'Content-Type': 'application/json',
        'api-key': apiKey
      }
    });
    return { statusCode: 200, body: '转发成功' };
  } catch (err) {
    console.error('请求失败:', err);
    return { statusCode: 500, body: '转发失败' };
  }
};

2. CDK中配置Lambda与EventBridge规则 #

• 给Lambda配置读取Secrets Manager的IAM权限
• 将Lambda设为EventBridge规则的目标，替代直接调用API Gateway
• 通过环境变量传递密钥ARN和目标API地址，避免硬编码

CDK代码示例：

import * as cdk from 'aws-cdk-lib';
import { Function, Runtime, Code } from 'aws-cdk-lib/aws-lambda';
import { Rule, EventBus } from 'aws-cdk-lib/aws-events';
import { LambdaFunction } from 'aws-cdk-lib/aws-events-targets';
import { PolicyStatement } from 'aws-cdk-lib/aws-iam';
import { Secret } from 'aws-cdk-lib/aws-secretsmanager';

// 引用现有资源
const eventBus = EventBus.fromEventBusArn(this, 'EventBus', process.env.EVENT_BUS_ARN!);
const apiGateway = /* 你的API Gateway实例引用 */;
const key = Secret.fromSecretCompleteArn(this, 'key', process.env.key!);

// 创建Lambda代理函数
const apiProxyLambda = new Function(this, 'ApiProxyLambda', {
  runtime: Runtime.NODEJS_20_X,
  code: Code.fromAsset('lambda'), // 指向Lambda代码所在目录
  handler: 'index.handler',
  environment: {
    SECRET_ARN: key.secretArn,
    TARGET_API_URL: `https://${apiGateway.restApiId}.execute-api.${cdk.Aws.REGION}.amazonaws.com/${apiGateway.deploymentStage.stageName}`
  }
});

// 授予Lambda读取密钥的权限
apiProxyLambda.addToRolePolicy(new PolicyStatement({
  actions: ['secretsmanager:GetSecretValue'],
  resources: [key.secretArn]
}));

// 配置EventBridge规则，目标指向Lambda
new Rule(this, 'KeyRule', {
  eventBus: eventBus,
  eventPattern: {
    detailType: ['my.event'],
  },
  targets: [new LambdaFunction(apiProxyLambda)]
});

方案优势 #

• 密钥仅在Lambda运行时临时获取，不会出现在任何静态配置、模板或控制台中
• 通过IAM最小权限原则控制Lambda对密钥的访问权限
• 可在Lambda中扩展日志、错误重试、请求转换等逻辑，提升灵活性

不推荐的替代方案 #

若不想引入Lambda，可尝试API Gateway自定义授权器，但需要目标API支持适配EventBridge的身份验证逻辑，实现复杂度远高于Lambda代理方案，灵活性也较差。

内容的提问来源于stack exchange，提问作者Sa'id Kharboutli