AWS CDK创建SecretsManager密钥后获取明文值的实现方法咨询

现有实现的风险提示 #

你当前的代码存在两个明显的安全隐患：

• 直接将密钥明文写入Lambda环境变量，Lambda环境变量默认明文存储，所有拥有Lambda配置读取权限的账号都可以直接获取密钥，完全不符合安全规范
• 直接把secret.secretValue.toString()放入CfnOutput，默认输出的是Secrets Manager的动态引用占位符，并非明文，反而会逼得你用打印日志这种高风险方式拿密钥，而且打印的密钥会长期存在CloudWatch日志中，任何有日志读取权限的账号都能获取。

更合理的实现方式 #

方式1：通过AWS CLI直接拉取密钥（生产环境推荐，最安全）

不需要修改任何栈代码，部署完成后直接调用AWS CLI从Secrets Manager拉取明文即可，密钥全程不会出现在CloudFormation模板、部署日志、服务配置中，完全符合AWS安全最佳实践：

# 把<密钥ID/ARN/名称>替换为实际密钥标识，可在Secrets Manager控制台查看
aws secretsmanager get-secret-value --secret-id <密钥ID/ARN/名称> --query SecretString --output text

如果记不住密钥标识，可以额外加一个安全的CfnOutput输出密钥ARN，不会泄露明文：

new cdk.CfnOutput(this, "MasterSecretArn", {
  value: secret.secretArn,
});

方式2：配置安全的CDK输出（仅测试环境使用）

如果需要部署后直接在终端拿到密钥，调整CDK代码如下，同时修改Lambda的密钥读取逻辑，避免明文出现在环境变量中：

import * as cdk from "@aws-cdk/core";
import * as lambda from "@aws-cdk/aws-lambda-nodejs";
import * as apiGw from "@aws-cdk/aws-apigateway";
import * as secretsmanager from "@aws-cdk/aws-secretsmanager";

export class ObjectCdkStack extends cdk.Stack {
  constructor(scope: cdk.Construct, id: string, props?: cdk.StackProps) {
    super(scope, id, props);

    const secret = new secretsmanager.Secret(this, "MasterSecret");
    const handler = new lambda.NodejsFunction(this, "HelloHandler", {
      entry: "lambda/hello.ts",
      bundling: {
        nodeModules: ["uuid"],
      },
      environment: {
        // 仅传递密钥ARN，不传递明文
        MASTER_SECRET_ARN: secret.secretArn,
      },
    });
    // 给Lambda授予密钥读取权限
    secret.grantRead(handler);

    new apiGw.LambdaRestApi(this, "Endpoint", {
      handler,
    });
    // 测试环境用，生产环境务必删除该输出，避免泄露明文
    new cdk.CfnOutput(this, "MasterSecretValue", {
      value: secret.secretValue.unsafeUnwrap(),
    });
  }
}

调整后Lambda代码里直接通过AWS SDK调用getSecretValue接口拿密钥即可，不需要从环境变量读明文。

额外优化建议 #

如果只是要做API请求的授权校验，不需要自己在Lambda里写校验逻辑，可以直接用API Gateway自带的API Key功能，把Secrets Manager生成的密钥同步为API Gateway的API Key，直接在网关层拦截非法请求，性能更好也更省心。

内容的提问来源于stack exchange，提问作者yspreen