AWS Lambda自动化创建程序访问型IAM用户并存储密钥到Secrets Manager的类型报错排查

secretsmanager.create_secret接口的SecretString参数严格要求传入字符串类型的JSON序列化结果，boto3不会对传入的Python字典做隐式类型转换，只要传dict就会触发你遇到的参数类型校验失败报错。

1. 直接触发报错的逻辑bug #

当前Secrets Manager调用的代码存在三处明确问题：

• 类型错配：直接传入Python字典作为SecretString参数值，没有将字典序列化为JSON格式的字符串
• 内容占位错误：字典里的'username': 'access_key'、'password': 'secret_key'都是硬编码的占位文本，没有嵌入前面从IAM接口拿到的真实access_key、secret_key变量值，就算类型修对了，存到Secrets里的也是没有实际作用的占位字符串
• 安全违规：代码最后三行print操作会把真实访问密钥、账号ID输出到运行日志，哪怕当前已经配置了拒绝写入CloudWatch的权限，也存在后续权限变更导致密钥意外泄露的风险，完全违背你“密钥不暴露在日志中”的安全设计要求，必须移除。

2. 修正后的核心调用逻辑 #

sm = boto3.client('secretsmanager')

# 构造实际存储的密钥元数据，替换占位内容
secret_store_content = {
    'iam_username': user_name,
    'access_key_id': access_key,
    'secret_access_key': secret_key,
    'attached_policy': policy_arn
}

sm.create_secret(
    Name=f'automated/iam/{user_name}/access-credentials',
    Description=f'Auto-generated program access credential for IAM user {user_name}',
    # 关键：用json.dumps将字典转为JSON字符串，满足接口参数类型要求
    SecretString=json.dumps(secret_store_content),
    Tags=[
        {
            'Key': 'donotdelete',
            'Value': 'yes'
        }
    ]
)

# 移除所有打印密钥、账号信息的print语句，仅返回操作结果
return f'Completed: IAM user {user_name} created, access keys stored to Secrets Manager'

很多文档示例里直接写硬编码的JSON字符串作为SecretString入参，容易产生“可以直接传字典”的误解，但boto3的参数校验层是严格匹配AWS公开接口的Schema定义的——只要参数类型和接口要求的字符串类型不匹配，就会直接抛出校验错误，不会做自动类型转换。按照上面的方式用json.dumps序列化字典后，就可以正常通过参数校验，也能保证密钥明文全程不经过日志输出、不硬编码在代码逻辑中。

内容的提问来源于stack exchange，提问作者Justin Lawhorne