如何通过AWS CLI验证Secrets Manager凭证轮换Lambda函数是否生效？

首先得说清楚你遇到的命令报错原因：文档里的那条命令是为Linux/macOS的bash/zsh这类shell写的，Windows命令提示符（CMD）不支持这种一次性变量赋值+多管道的写法，所以才会提示'secret' is not recognized。下面给你几个能用AWS CLI在Windows环境（CMD/PowerShell）里验证的方法，还有通用的检查思路：

方法1：Windows命令提示符（CMD）分步操作 #

CMD对复杂管道的支持有限，我们拆分步骤来做：

1. 先把机密值导出到本地文件：

   aws secretsmanager get-secret-value --secret-id xxxxxxx > secret_temp.json
   

2. 用jq解析SecretString（得先把jq装到系统PATH里，这个工具处理JSON很方便）：

   jq -r .SecretString secret_temp.json | jq fromjson
   

3. 把当前的密码（或其他凭证字段）记下来，然后手动触发一次轮换测试：

   aws secretsmanager rotate-secret --secret-id xxxxxxx
   

4. 等个1-2分钟（给Lambda函数足够的执行时间），再重复步骤1和2，对比两次的凭证值——如果密码不一样，说明轮换成功了。

方法2：用PowerShell（更省心，不用额外装工具） #

PowerShell原生支持JSON解析，不用装jq，操作更顺畅：

1. 获取并解析机密值：

   $secretRaw = aws secretsmanager get-secret-value --secret-id xxxxxxx | ConvertFrom-Json
   $secretDetails = $secretRaw.SecretString | ConvertFrom-Json
   # 直接看当前的凭证信息
   $secretDetails
   

2. 手动触发轮换：

   aws secretsmanager rotate-secret --secret-id xxxxxxx
   

3. 等一会儿再执行步骤1的命令，对比两次输出里的password字段——如果有变化，就说明轮换正常工作了。

方法3：查轮换历史和日志，不用对比凭证 #

要是不想手动对比密码，还可以通过日志和历史记录来验证：

• 查看轮换历史状态：
  用这条命令直接看Secret的轮换记录，只要状态是Success就没问题：

  aws secretsmanager describe-secret --secret-id xxxxxxx --query 'RotationHistory[]'
  

• 检查Lambda执行日志：
  去CloudWatch控制台找到你那个轮换Lambda函数的日志组，看最近的日志条目。如果没有报错，反而有类似“凭证更新完成”的日志，那肯定是轮换成功了。

另外，要是你习惯用类Unix的shell语法，也可以在Windows上装个WSL（Windows Subsystem for Linux），然后在WSL里执行文档里的命令，就不会有语法问题了。

内容的提问来源于stack exchange，提问作者wawawa