如何使用AWS CLI设置加密的Lambda环境变量？

Question

我在本地有AWS Lambda环境变量，它们希望用特定的KMS密钥加密并分配给Lambda函数。

我以为

aws lambda update-function-configuration --function-name functionName --cli-input-json file://config.json

{
  "Environment": {
    "Variables": {
      "var01": "Variable one",
      "var02": "Variable two"
    }
  },
  "KMSKeyArn": "arn:aws:kms:us-west-1:09238573743:key/...."
}

Answer 1

与AWS控制台不同的是，AWS CLI只进行一次调用，而AWS控制台的构建是为了进行多个调用，这些调用可以跨越各种服务。这就是为什么$aws lambda update-function-configuration不会加密变量的原因。

因此，为了完成这一点，我们只需要两个命令：

$aws kms Encrypt--key-id****--明文“variable one”

$aws lambda更新-function-configuration--function-name functionname-kms-key-arn****--环境变量={var01=xxxxxxxx}

--编辑：

我们可以在aws lambda update-function-configuration命令的参数中设置的密钥用于静止加密。（如控制台中）

对于环境变量解密，不需要告诉lambda它必须使用哪一个密钥，因为这个信息在密码文本上。但我们必须确保lambda可以访问密钥，方法是在AWS IAM中将lambda的角色设置为密钥的用户。