如何在CDK中更新由DatabaseCluster生成的Secrets Manager密钥值？

当你通过CDK的DatabaseCluster创建RDS集群时，对应的SecretsManager密钥默认包含AWS管理的核心字段（如username、password、host等），这些字段不可手动修改。但你可以通过以下两种方式添加或更新自定义的附加键值对：

方法一：直接通过CDK的Secret API扩展字段 #

如果你只需要添加或更新自定义键值对，无需复杂逻辑，可以直接利用Secret.addSecretStringGenerator()方法，CDK会自动合并现有Secret内容与新的字段：

import * as rds from 'aws-cdk-lib/aws-rds';
import * as cdk from 'aws-cdk-lib';

const app = new cdk.App();
const stack = new cdk.Stack(app, 'RdsSecretUpdateStack');

// 创建RDS集群并生成关联的Secret
const cluster = new rds.DatabaseCluster(stack, 'MyAuroraCluster', {
  engine: rds.DatabaseClusterEngine.auroraMysql({ 
    version: rds.AuroraMysqlEngineVersion.VER_3_03_0 
  }),
  credentials: rds.DatabaseClusterCredentials.fromGeneratedSecret('dbadmin'),
  instances: 1,
  instanceProps: {
    vpc: yourVpc, // 替换为你的VPC配置
  },
});

// 获取集群关联的Secret
const rdsSecret = cluster.secret!;

// 添加或更新自定义键值对
rdsSecret.addSecretStringGenerator({
  secretStringTemplate: JSON.stringify({
    app_env: 'production',
    custom_config: 'updated_value_v2'
  }),
  // 无需生成新密码，因此不指定generateStringKey参数
});

部署此CDK栈时，SecretsManager会自动将新的自定义字段合并到现有Secret中，不会覆盖AWS管理的核心字段。

方法二：通过自定义资源（Custom Resource）实现灵活更新 #

如果需要更复杂的更新逻辑（比如基于现有值修改、动态生成字段），可以用Lambda+自定义资源的方式调用SecretsManager的API：

import * as rds from 'aws-cdk-lib/aws-rds';
import * as lambda from 'aws-cdk-lib/aws-lambda';
import * as cr from 'aws-cdk-lib/custom-resources';
import * as cdk from 'aws-cdk-lib';

const app = new cdk.App();
const stack = new cdk.Stack(app, 'RdsSecretCustomUpdateStack');

// 创建RDS集群（省略重复配置）
const cluster = new rds.DatabaseCluster(stack, 'MyCluster', { /* ... */ });
const rdsSecret = cluster.secret!;

// 创建用于更新Secret的Lambda函数
const updateSecretLambda = new lambda.Function(stack, 'SecretUpdater', {
  runtime: lambda.Runtime.NODEJS_18_X,
  handler: 'index.handler',
  code: lambda.Code.fromInline(`
    const AWS = require('aws-sdk');
    const secretsManager = new AWS.SecretsManager();

    exports.handler = async (event) => {
      const { SecretId, UpdateFields } = event.ResourceProperties;
      
      // 获取现有Secret内容
      const existingSecret = await secretsManager.getSecretValue({ SecretId }).promise();
      const secretData = JSON.parse(existingSecret.SecretString);
      
      // 合并需要更新的字段
      Object.assign(secretData, JSON.parse(UpdateFields));
      
      // 写入更新后的Secret
      await secretsManager.putSecretValue({
        SecretId,
        SecretString: JSON.stringify(secretData)
      }).promise();
      
      return { PhysicalResourceId: SecretId };
    };
  `),
});

// 授予Lambda读写Secret的权限
rdsSecret.grantReadWrite(updateSecretLambda);

// 创建自定义资源触发更新
new cr.CustomResource(stack, 'UpdateRdsSecretResource', {
  serviceToken: updateSecretLambda.functionArn,
  properties: {
    SecretId: rdsSecret.secretArn,
    UpdateFields: JSON.stringify({
      app_version: 'v1.2.0',
      max_connection_limit: '100'
    }),
    // 添加Version字段，仅当需要更新时修改此值触发执行
    Version: 'v2'
  }
});

关键注意事项 #

• 禁止修改AWS管理字段：username、password、host、port等核心字段由AWS自动维护，手动修改会导致RDS连接异常。如需更新密码，应使用CDK配置自动旋转（rdsSecret.addRotationSchedule()）或调用RotateSecret API。
• 部署权限：确保CDK部署角色拥有secretsmanager:PutSecretValue权限，默认角色已包含此权限。
• 自定义资源触发逻辑：自定义资源默认会在每次部署时执行，若需按需更新，可通过修改Version等唯一参数触发。

内容的提问来源于stack exchange，提问作者TUSHAR