我可以强制CloudFormation从Secrets Manager解析值吗？

Question

Resources:
  Function:
    Type: AWS::Serverless::Function
    Properties:
      Environment:
        Variables:
          SECRET_KEY: !Sub '{{resolve:secretsmanager:${Secret}:SecretString:KEY}}'

  Secret:
    Type: AWS::SecretsManager::Secret
    Properties:
      Name: 'very-secret-thing'
      SecretString: '{"KEY":"dummy"}'

因此，在AWS控制台中设置了实际的秘密之后，我需要触发Lambda函数的重新部署，以便新的秘密值将由CloudFormation解析并在函数的环境中设置。我该怎么做？

执行AWS cloudformation Deploy失败，消息为：没有要部署的更改。

我怀疑CloudFormation正在将模板的“原始”版本与上次部署的版本进行比较，而没有首先解析对Secrets Manager的引用。是这样吗？有没有什么诀窍可以迫使更早地取消交易？

_{脚注：我很清楚，以这种方式使用Secrets Manager将导致secret值在AWS Lambda控制台中可见，并且在运行时从Secrets Manager获取值将是更安全的方法。这恰好超出了我希望做的范围。}

Answer 1

您可以人为地更改AWS::Serverless::Function资源上的其他内容，以强制其在部署时更新。

例如，一个时间戳：

Parameters:
  DeployTimestamp: { Type: String }

Resources:
  Function:
    Type: AWS::Serverless::Function
    Properties:
      Environment:
        Variables:
          SECRET_KEY: !Sub '{{resolve:secretsmanager:${Secret}:SecretString:KEY}}'
          SECRET_KEY_UPDATED: !Ref DeployTimestamp

假设您从脚本进行部署，那么您将执行类似AWS cloudformation deploy--parameter-overrides“deploytimestamp=$(date)”的操作，以便每次更改值。