能否在AWS Secrets Manager中引用其他密钥？多微服务共享密钥咨询

核心思路 #

创建secrets-common存储共享密钥secret-AB，通过IAM权限严格隔离微服务的密钥访问范围，同时解决密钥复用的同步或直接拉取问题。

步骤1：创建公共密钥仓库 #

在AWS Secrets Manager中创建secrets-common，存入共享密钥secret-AB。

步骤2：配置IAM权限隔离 #

为两个微服务的IAM角色分别配置最小权限：

• 给micro-A的IAM角色添加权限：允许读取secrets-A和secrets-common，显式拒绝读取secrets-B
• 给micro-B的IAM角色添加权限：允许读取secrets-B和secrets-common，显式拒绝读取secrets-A

示例IAM策略（以micro-A为例）：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "secretsmanager:GetSecretValue",
            "Resource": "arn:aws:secretsmanager:region:account-id:secret:secrets-A-*"
        },
        {
            "Effect": "Allow",
            "Action": "secretsmanager:GetSecretValue",
            "Resource": "arn:aws:secretsmanager:region:account-id:secret:secrets-common-*"
        },
        {
            "Effect": "Deny",
            "Action": "secretsmanager:GetSecretValue",
            "Resource": "arn:aws:secretsmanager:region:account-id:secret:secrets-B-*"
        }
    ]
}

步骤3：实现共享密钥的复用（二选一） #

方案A：自动同步（无需修改微服务代码）

1. 创建Lambda函数，逻辑为：读取secrets-common中的secret-AB，更新到secrets-A和secrets-B中
2. 给Lambda角色配置访问三个密钥仓库的全量权限（读取、更新）
3. 为secrets-common配置秘密更新事件，触发Lambda自动同步

方案B：微服务直接拉取（更轻量化）

修改micro-A和micro-B的代码逻辑：

• 当需要secret-AB时，直接从secrets-common拉取
• 保留原有从各自密钥仓库拉取专属密钥的逻辑

关键注意事项 #

• 必须通过IAM的显式拒绝策略确保微服务无法访问对方的专属密钥仓库
• 方案A的Lambda同步需处理幂等性，避免重复更新导致的异常
• 方案B需要确保微服务代码中密钥拉取逻辑的正确性，避免混淆专属密钥和共享密钥

内容的提问来源于stack exchange，提问作者user1205577