能否在AWS Secrets Manager前部署API Gateway？遇未知操作错误求解

结论 #

仅通过API Gateway直接对接AWS Secrets Manager获取密钥是完全可行的，能避开Lambda作为中间件带来的资源占用问题。你遇到的<UnknownOperationException/>错误大概率是集成配置的参数或方法有误。

错误排查要点 #

• 集成方法与Action参数错误：Secrets Manager的GetSecretValue操作要求使用POST请求，且必须在集成请求的查询参数中指定Action=GetSecretValue和Version=2017-10-17。如果你的API用了GET方法，或未正确设置这两个参数，就会触发该错误。
• 区域不匹配：确保API Gateway集成的Secrets Manager区域与密钥所在区域完全一致。
• 权限不足：API Gateway的执行角色必须拥有secretsmanager:GetSecretValue权限，且策略中要明确指定目标密钥的ARN。

仅API Gateway的配置步骤 #

1. 创建API资源与方法：在API Gateway中创建对应的资源（比如/secrets/{secret-id}），选择POST方法（匹配Secrets Manager的API要求）。
2. 配置AWS服务集成：
   • 集成类型选择「AWS Service」，服务选「Secrets Manager」，填写正确的区域。
   • 集成请求的HTTP方法设置为POST。
   • 添加查询参数：
     • 名称Action，值GetSecretValue
     • 名称Version，值2017-10-17
3. 请求映射模板：如果通过路径参数传递密钥ID，需要配置VTL映射模板将参数传递给Secrets Manager，示例模板：

   {
     "SecretId": "$input.params('secret-id')"
   }
   

4. 配置执行角色权限：给API Gateway的执行角色附加如下策略（替换为你的密钥ARN）：

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": "secretsmanager:GetSecretValue",
         "Resource": "arn:aws:secretsmanager:us-east-1:123456789012:secret:your-secret-name"
       }
     ]
   }
   

5. 部署与授权：部署API后，配置API密钥、VPC端点或资源策略，限制仅Lambda能访问该API。

相关官方文档参考 #

• API Gateway集成AWS服务官方指南：详细说明如何配置AWS服务集成的参数、权限和映射模板。
• Secrets Manager API参考：明确GetSecretValue操作的请求格式、参数要求和返回值结构。

内容的提问来源于stack exchange，提问作者bsteven48