如何安全使用AWS SSM参数存储实现Lambda调用Airflow API？

我需要编写一个Lambda函数，使用存储在AWS SSM参数存储中的凭证调用Airflow的API，且已获取到该凭证的密钥ID。请问如何安全查询凭证并将其安全集成到API调用中？以下代码思路是否正确：

Import boto3

key_supplied = 'the key I was supplied with'
client = boto3.client('ssm')

def lambda_handler(event, context):
     parameter = client.get_parameter(Name='key_supplied', WithDecryption=True)
print(parameter)
return parameter ['Parameter']['Value']

代码问题分析 #

你的思路方向是对的，但存在几个关键错误：

1. 参数名引用错误：Name='key_supplied'是字符串字面量，会去查询名为key_supplied的SSM参数，而非你实际传入的变量对应的参数ID，应改为Name=key_supplied。
2. 缩进错误：print(parameter)和return语句不在lambda_handler函数内部，函数执行时不会触发这两行代码，导致无有效返回值。
3. 敏感信息泄露风险：print(parameter)会把包含凭证的参数内容打印到Lambda日志中，绝对不能保留这行代码。
4. 客户端初始化位置：虽然Lambda执行环境会复用外部初始化的客户端，但更规范的做法是将boto3.client('ssm')放在函数内部，避免复用导致的潜在问题。

修正后的安全代码示例 #

import boto3

def lambda_handler(event, context):
    # 凭证对应的SSM参数ID
    key_supplied = 'your-actual-ssm-parameter-id'
    # 初始化SSM客户端
    ssm_client = boto3.client('ssm')
    
    try:
        # 获取解密后的凭证值
        parameter = ssm_client.get_parameter(
            Name=key_supplied,
            WithDecryption=True
        )
        airflow_credential = parameter['Parameter']['Value']
        
        # 此处添加Airflow API调用逻辑，示例如下
        # import requests
        # response = requests.get(
        #     'https://your-airflow-api-endpoint',
        #     headers={'Authorization': f'Bearer {airflow_credential}'}
        # )
        
        return {"status": "success", "message": "凭证已获取并完成API调用"}
    except Exception as e:
        # 捕获异常，避免泄露敏感信息
        return {"status": "error", "message": str(e)}

安全注意事项 #

• IAM权限控制：确保Lambda执行角色仅拥有ssm:GetParameter权限，且资源范围限定为目标SSM参数的ARN（遵循最小权限原则），示例策略：

  {
      "Version": "2012-10-17",
      "Statement": [
          {
              "Effect": "Allow",
              "Action": "ssm:GetParameter",
              "Resource": "arn:aws:ssm:your-region:your-account-id:parameter/your-target-parameter-name"
          }
      ]
  }
  

• 参数加密：确保SSM参数使用KMS密钥加密，避免明文存储凭证。
• 日志规范：绝对不要在日志中打印任何敏感凭证信息，包括参数内容或API调用的凭证头。
• 凭证使用：根据Airflow API要求正确传递凭证（如Bearer Token、Basic Auth等），调用完成后无需手动清理内存，Lambda执行结束后环境会被销毁或复用。

内容的提问来源于stack exchange，提问作者Sanchez333